twilio - 如何处理 Twilio SMS StatusCallback URL 的身份验证

Question

我已经开始使用 Twilio Programmable SMS API 通过 Twilio 发送消息。

众所周知，消息状态可以是queued、failed或sent、delivered或未交付，并且它会在一段时间内发生变化。

根据文档，API 提供了一个很好的工具来使用 StatusCallback 请求参数监视消息的状态，此参数的值是一个 URL，当消息状态发生变化时会调用该 URL。

我假设 StatusCallback URL 是我们的自定义 REST API 端点，只要消息状态发生变化，Twilio 就会调用它。我对么？如果是，Twilio 是如何验证调用我们的 StatusCallback URL，如何处理 StatusCallback URL 的验证？

Answer 1

Twilio 允许您通过多种方式为 webhook 设置身份验证。

首先，您可以将端点设置为需要 HTTP authentication .然后，您可以在 URL 中设置用户名和密码。 Twilio 将首先发送一个没有 Authorization header 的请求。在您的服务器响应 401 Unauthorized 状态代码、WWW-Authenticate header 和响应中的 realm 之后，Twilio 将发出相同的请求带有 Authorization header 。

另一种确保 Twilio 是请求发起者的方法是 validate the signature作为请求的 X-Twilio-Signature header 出现。签名由 URL 和请求的所有参数组成，并使用您帐户的身份验证 token 进行签名。如果您可以生成相同的签名，那么您可以相信它来自 Twilio。检查the documentation for how to validate the signature ，它还内置于每个官方 Twilio 帮助程序库中。