如何手动核实X.509证书中的CNSAN字段是否与目标主机名完全一致？

本文共计733个文字，预计阅读时间需要3分钟。

本方案介绍如何不依赖sslSession，直接基于X.509证书对象手动实现主机名验证逻辑。具体步骤如下：

在Java中，标准的HostnameVerifier接口设计用于SSL/TLS握手阶段，其verify(String hostname, SSLSession session)方法需传入SSLSession——这意味着它无法直接用于离线证书校验（如证书预检、证书审计或自定义信任链验证）。若你手头只有一个X509Certificate对象和待验证的主机名（例如 "api.example.com"），需自行解析证书的Subject Alternative Name（SAN）扩展字段和Common Name（CN）字段，并执行RFC 6125兼容的匹配规则。