aws-lambda - API 网关上的 API key 与斜杠命令一起使用

Question

我正在创建一个新的 Slack 应用程序，它基本上接受斜杠命令。它已经在工作，但我想使用 API key 来保护我的 API。已经配置了 API key + 使用计划，但不确定如何在 slack 端使用它。

我基本上需要发一个x-api-key header ，但从 Slack 方面似乎不可能？

根据您的命令，拥有一个仅依赖 slack 验证 token 的开放 API 似乎非常冒险......

有没有办法做到这一点，或者这是要走的路？仅使用 token 和团队 ID 进行验证。

Answer 1

无法向来自 Slack 的请求添加自定义 header ，例如 x-api-key正如你所建议的。

保护 API 的标准方法是使用“签名 secret ”，而不是验证 token 。验证 token 是一种较旧的安全功能，仍然有效，但安全性较低，因此不再推荐。

签名的 secret 将使用标准的 HMAC-SHA256 key 散列使用生成的 key 对来自 Slack 的每个请求进行加密签名。您可以在应用程序配置页面上找到该 key 。

看看这个 documentation有关如何使用签名 secret 的更多详细信息。