Eventarc触发Google Workflow出现HTTP 400错误排查求助

1. 检查卡住的PubSub消息内容 #

• 使用gcloud pubsub subscriptions pull <你的订阅ID> --auto-ack=false命令拉取未处理的消息
• 对消息的data字段进行Base64解码，查看具体的Eventarc事件payload
• 重点排查：
  • payload是否包含畸形JSON（比如未转义的特殊字符、缺失的引号）
  • 是否存在超出预期的数据类型（比如Firestore的引用类型、Blob、NaN等无法正常序列化的内容）
  • 消息大小是否超过Workflow的输入限制（当前上限为1MB）

2. 查看Eventarc的请求日志细节 #

• 在Cloud Logging中使用过滤器定位该触发器的请求日志：

  resource.type="eventarc.googleapis.com/Trigger"
  AND labels.trigger_id="<你的触发器ID>"
  AND severity="ERROR"
  AND textPayload:"url_4xx_error_400"
  

• 查找包含请求体、请求头的日志条目，确认Eventarc发送给Workflow的HTTP请求是否符合规范
• 检查是否存在请求头异常（比如Content-Type不正确）或请求体格式错误

3. 手动测试Workflow的输入兼容性 #

• 提取卡住消息的payload，使用gcloud workflows execute <你的Workflow名称> --data='<解码后的payload>'命令手动触发Workflow
• 观察执行结果：
  • 如果返回400错误，查看具体的错误提示（比如"invalid JSON"、"missing required field"）
  • 如果执行成功，说明问题可能出在Eventarc到Workflow的传输环节（比如中间的序列化/反序列化问题）

4. 验证Workflow的输入处理逻辑 #

• 检查Workflow定义中对Eventarc Firestore事件的解析代码：
  • 是否假设了某些字段必存在，但该消息中缺失？
  • 是否对特殊数据类型（比如嵌套对象、数组）的处理存在漏洞？
  • 是否有字段长度限制被该消息突破？

5. 排查Firestore源文档的特殊性 #

• 定位触发该消息的Firestore文档：
  • 对比正常处理的文档，查看是否有异常字段、超大值或特殊数据结构
  • 尝试修改该文档（比如删除异常字段），观察是否能触发正常的Workflow调用

6. 检查边缘权限与拦截规则 #

• 确认Eventarc使用的服务账号对该特定Firestore文档是否有datastore.entities.get权限（排除单文档权限异常）
• 检查是否存在VPC防火墙或WAF规则拦截了该请求（比如请求中的特殊字符触发了拦截策略）

内容的提问来源于stack exchange，提问作者Johnny van de Laar