开发Google智能家居Action：自定义请求头添加及非授权头验证咨询

1. 是否可以为Google智能家居发送的HTTPS请求添加自定义请求头？ #

不行的，Google智能家居平台发送的Webhook请求格式是固定的，目前没有提供让开发者自定义添加请求头的配置选项。所有请求都会严格按照Google智能家居的规范标准构造，你只能接收平台默认携带的那些请求头（比如Authorization、X-Goog-Signature这类）。

2. 若无法添加自定义头，除验证Authorization头外，是否有其他方法确保Google智能家居Webhook请求来自Google？ #

当然有，这里给你推荐几种可靠的验证方式：

• 验证请求签名：Google会在每个Webhook请求中携带X-Goog-Signature和X-Goog-Signature-Key-Id两个头。你可以通过对应密钥ID的Google公钥，使用SHA256withRSA算法对请求体进行签名验证，确认请求内容未被篡改且确实来自Google。这是官方推荐的最安全的验证方式之一。
• 校验请求来源IP：Google智能家居的请求会来自特定的IP地址范围，你可以在服务器端配置IP白名单，只允许来自这些范围的请求访问你的Webhook。不过要注意，Google的IP范围可能会更新，需要定期同步官方公布的最新列表。
• 检查User-Agent请求头：虽然这个方法安全性稍弱（因为User-Agent可以被伪造），但Google的Webhook请求通常会带有特定的标识，比如包含GoogleHomeGraph字样。可以作为辅助验证手段，和其他方法结合使用。

内容的提问来源于stack exchange，提问作者sudow