部署到Heroku后Twilio Webhook POST请求返回403错误求助

云原生阿岚

2026-6-21

解决方案：Heroku部署后Twilio Webhook返回403错误

问题分析

本地及nGrok环境下应用能正常接收Twilio Webhook，但部署到Heroku后，Twilio触发的POST请求返回403，Postman模拟相同请求却能正常执行。结合Twilio错误提示**"跨站POST表单提交被禁止"，核心原因是SvelteKit默认启用的CSRF保护拦截了Twilio请求**——Twilio的Webhook无法携带SvelteKit要求的CSRF令牌，而Postman直接提交表单的方式未触发前端CSRF校验逻辑，因此能正常通过。

解决步骤

1. 关闭目标端点的CSRF保护

在api/incomingMessages/+server.js（或.ts）文件顶部添加配置导出，禁用该端点的CSRF验证：

export const config = {
    csrf: false
};

export async function POST({ request }) {
    // 原有的POST请求处理逻辑
}

2. （可选但推荐）验证Twilio请求合法性

关闭CSRF后，为避免恶意请求，建议用Twilio官方库验证请求来源：

安装依赖：npm install twilio
在服务器代码中添加验证逻辑：

import twilio from 'twilio';

export const config = {
    csrf: false
};

export async function POST({ request, headers }) {
    // 从环境变量获取Twilio密钥
    const authToken = process.env.TWILIO_AUTH_TOKEN;
    const requestUrl = 'https://你的Heroku域名/api/incomingMessages'; // 替换为实际域名
    const twilioSignature = headers.get('x-twilio-signature');

    const text = await request.text();
    const params = new URLSearchParams(text);

    // 验证请求是否来自Twilio
    const isValid = twilio.validateRequest(authToken, twilioSignature, requestUrl, params);
    if (!isValid) {
        return new Response('Unauthorized', { status: 401 });
    }

    // 原有的消息处理、数据库插入等逻辑...
}