验证Microsoft Teams Azure Bot Webhook请求：HMAC与JWT相关疑问

1. Teams Azure Bot 是否支持HMAC签名验证？ #

当前基于Bot Framework v4及以上版本的Teams Azure Bot不再默认支持HMAC签名验证，HMAC是早期Bot Framework（v3及更早版本）采用的验证机制，微软在v4版本后已统一改用JWT Bearer令牌作为标准验证方式。

2. 你的Bot与采用HMAC验证的Bot的核心区别 #

• 版本代差：采用HMAC的Bot基于Bot Framework v3或更早版本，你的Bot则使用v4+版本，微软在v4迭代中彻底替换了验证体系。
• 验证逻辑差异：
  • HMAC验证是通过请求头中的Authorization字段（格式为HMAC <签名值>），结合请求内容和Bot的应用密钥生成签名后比对校验。
  • 你的Bot收到的Bearer <JWT令牌>，需要验证令牌的签名有效性、有效期、受众（aud）、发行方（iss）等核心字段，确保请求确实来自微软Bot服务。
• 安全实现不同：HMAC依赖Bot应用密钥直接参与签名计算，而JWT验证通过微软公开的密钥集（JWKS）完成签名校验，无需直接存储密钥，安全性更优。

3. 其他可用的请求验证方式 #

除了JWT Bearer令牌验证，还可以搭配以下手段强化验证：

• IP白名单限制：只允许来自微软Bot服务官方公布的IP范围的请求访问你的Webhook，微软会定期更新IP列表，可在入口处配置过滤规则。
• 自定义内容哈希校验：提前和服务端约定密钥，对请求体生成哈希值并放在自定义请求头中，接收端重新计算哈希比对，但这种方式需要额外开发，不如官方JWT验证便捷。
• 使用官方SDK中间件：C#、Python、JavaScript等官方Bot Framework SDK都内置了JWT验证中间件，直接集成即可自动完成验证，无需手动编写校验逻辑，降低出错风险。

内容的提问来源于stack exchange，提问作者user2503775