将MS Graph订阅接入Node.js谷歌云函数时遇验证错误求排查

我正尝试将MS Graph Subscriptions接入基于Node.js的Google HTTP Cloud Function。为建立MS Graph订阅与云函数间的信任，需交换验证令牌，但返回令牌后出现ValidationError。

错误响应 #

{
    "error": {
        "code": "ValidationError",
        "message": "d2e35dec-a4ba-9142-1129-139539c37a74",
        "innerError": {
            "date": "2025-02-02T17:07:07",
            "request-id": "a975ae23-b3ae-454f-892a-581465fe87ba",
            "client-request-id": "d2e35dec-a4ba-9142-1129-139539c37a74"
        }
    }
}

当前云函数响应代码 #

functions.http('groupsHttp', (req, res) => {

    let validationToken = req.query.validationToken;
    let validationTokenArray = validationToken.split(' ');
    let finalToken = validationTokenArray.at(-1).toString();

    return res.setHeader('Content-Type', 'text/plain; charset=utf-8').status(200).send(finalToken);

});

微软官方验证要求 #

• 返回HTTP 200状态码
• Content-Type为text/plain
• 返回体包含初始Graph请求提供的验证令牌
• 10秒内完成响应

排查提示与思路 #

• 移除令牌的多余处理：当前代码对验证令牌做了拆分取最后一段的操作完全没必要，MS Graph传入的令牌本身是完整字符串，直接返回原始的req.query.validationToken即可，避免因修改导致令牌不匹配。
• 严格匹配响应头：将Content-Type改为严格的text/plain，去掉额外的charset=utf-8参数，部分场景下微软验证逻辑会对额外参数敏感。
• 确保响应体纯净：返回的令牌不能包含任何额外空白字符（换行、空格等），可以用trim()处理令牌后再返回，比如res.send(validationToken?.trim())。
• 检查响应耗时：在云函数中添加日志记录请求处理耗时，确保响应在10秒内完成，同时确认云函数部署区域离MS Graph服务区域较近，减少网络延迟。
• 验证参数获取正确性：打印完整的req.query日志，确认validationToken参数的完整性，避免因参数解析错误导致返回错误令牌。
• 本地模拟测试：用curl或Postman模拟验证请求，传入测试令牌，检查云函数的响应内容、状态码、响应头是否完全符合要求。

内容的提问来源于stack exchange，提问作者Ben Schleef