谷歌推送通知。如何验证发件人并确保是Google？

Question

我已在我的应用中通过OAuth2与Google集成。我可以在Google日历范围内的push notification（ PN ）更改中订阅客户。 PN在REST控制器级别上处理。目前的问题是我不能确定PN是由Google发送的。

从休息请求我可以获得发件人IP，可能是关于发件人的更多信息（我还不知道我需要哪些）。现在我想我需要谷歌的IPs范围（从PN发送到哪里）。这个范围我可以在我的系统中注册并进行发送者验证。但是这个想法有一些缺点（描述所有细节，我希望得到答案或建议替代，更好的解决方案）。

如何验证PN发件人是Google？

下一个问题的答案可以帮助我实现我的一个验证想法：

1. 我可以将谷歌的IP范围用作过滤器（从哪里可以获得可用于发送PN的谷歌的IP范围？）？
2. 如果请求是从Google发送的，请使用Google特殊安全API检查使用某些请求信息吗？

我的申请详情：

• maven web java project;
• 基于spring boot;
• REST API;

• java google客户端;

  <dependency>
      <groupId>com.google.api-client</groupId>
      <artifactId>google-api-client</artifactId>
  </dependency>