能否在API Gateway映射模板层验证GitLab Webhook的X-Gitlab-Token？

可以直接在API Gateway的映射模板层完成X-Gitlab-Token的验证，无需调用额外Lambda函数。核心思路是利用API Gateway的Velocity模板语言（VTL）在集成请求阶段判断令牌有效性，无效时直接返回403错误并终止请求转发到Lambda。

具体实现步骤 #

1. 配置方法请求（可选但推荐） #

在API Gateway的对应方法请求中，添加X-Gitlab-Token为必填请求头，确保所有Webhook请求都携带该令牌，减少无效请求的处理。

2. 配置阶段变量存储令牌（推荐安全做法） #

避免在模板中硬编码令牌，将预期的GitLab Webhook令牌存入API Gateway的阶段变量：

• 进入API Gateway的对应阶段设置
• 添加阶段变量（例如GITLAB_WEBHOOK_TOKEN），值设置为你在GitLab Webhook中配置的令牌

3. 编写集成请求映射模板 #

在API Gateway的集成请求中，选择application/json的映射模板，写入以下VTL逻辑：

#set($incomingToken = $input.params('X-Gitlab-Token'))
#set($expectedToken = $stageVariables.GITLAB_WEBHOOK_TOKEN)

## 验证令牌有效性
#if($incomingToken != $expectedToken)
    #set($context.responseOverride.status = 403)
    #set($context.responseOverride.body = '{"error": "Invalid GitLab webhook token"}')
#else
    ## 令牌有效，转发原始请求内容到Lambda（可根据需求修改请求体结构）
    $input.json('$')
#end

4. 配置方法响应 #

为API Gateway的对应方法添加403 Forbidden状态码：

• 方法响应中添加403状态码
• 设置响应头Content-Type为application/json
• 配置403的响应体模板（可选，若映射模板中已设置responseOverride.body，此步骤可简化）：

{"error": "Invalid GitLab webhook token"}

关键逻辑说明 #

• 当令牌不匹配时，通过$context.responseOverride直接修改响应状态码和响应体，API Gateway会终止请求，不会转发到Lambda
• 令牌匹配时，正常将原始请求内容（或自定义的请求结构）转发给Lambda，触发后续CI流水线启动逻辑

注意事项 #

• 阶段变量的权限控制：确保只有授权人员能修改阶段变量，防止令牌泄露
• 开启API Gateway访问日志：便于排查令牌验证失败的请求记录
• GitWebhook侧同步：确保GitLab中配置的Webhook令牌与API Gateway阶段变量中的值完全一致

内容的提问来源于stack exchange，提问作者Dmytro Kostin