如何在自托管n8n与独立Docker容器部署的browserless之间安全传递凭证至Puppeteer脚本？

我刚好碰到过几乎一模一样的场景，折腾了好一阵终于搞定了，给你分享下我的解决方案：

核心思路：分离凭证传递通道 #

把两类凭证拆成两个独立的传递路径，避开n8n的节点限制和browserless的脚本安全问题：

• browserless验证Token：通过HTTP请求头传递，让browserless自动校验
• 目标网站认证凭证：通过请求体的context字段传递，同时保留其他业务变量

具体实现步骤 #

1. 安全存储凭证：用n8n环境变量 #

先把两类凭证都存在n8n的环境变量里（比如BROWSERLESS_API_TOKEN和TARGET_SITE_CREDS），绝对不要明文写在脚本或节点配置里：

• 如果你用Docker部署n8n，直接在docker-compose.yml里加environment字段
• 如果是手动部署，修改n8n的.env文件即可

2. 用自定义函数节点组装请求 #

n8n的HTTP节点限制太多，用函数节点来绕过这些限制，直接构造完整的请求内容：

// 从环境变量读取凭证
const browserlessToken = process.env.BROWSERLESS_API_TOKEN;
const targetCreds = JSON.parse(process.env.TARGET_SITE_CREDS);

// 构造包含凭证+业务变量的完整context
const requestContext = {
  targetCredentials: targetCreds,
  // 这里可以加任何你需要传递的其他变量
  targetUrl: $input.item.json.targetUrl,
  operationType: $input.item.json.operationType
};

// 组装最终的请求配置
return {
  requestHeaders: {
    "x-api-key": browserlessToken, // 给browserless的验证Token，它会自动校验
    "Content-Type": "application/json"
  },
  requestBody: {
    code: `// browserless执行的脚本逻辑
async ({ page, context }) => {
  // 直接从context里取目标网站凭证
  const { targetCredentials, targetUrl } = context;
  
  // 用凭证登录目标网站（示例）
  await page.goto(targetUrl);
  await page.type('#user-input', targetCredentials.username);
  await page.type('#pass-input', targetCredentials.password);
  await page.click('#login-btn');
  
  // 后续业务操作...
}`,
    context: requestContext // 完整传递context，不会覆盖任何变量
  }
};

3. 把函数输出传给HTTP节点 #

在HTTP节点里做以下配置：

• 请求方法选POST，地址填browserless的API（比如http://browserless:3000/function，注意容器网络互通）
• Headers字段填{{ $json.requestHeaders }}
• Body选Raw格式，内容填{{ $json.requestBody }}，Content-Type选application/json

对应解决所有问题的说明 #

• 问题1（HTTP节点仅支持一组凭证）：browserless的验证Token放在请求头，不需要占用HTTP节点的凭证配置区，完全避开冲突
• 问题2（脚本存凭证不安全）：所有凭证都存在环境变量里，脚本只通过context引用，不会暴露明文
• 问题3（n8n无法检索任意凭证到请求体）：函数节点可以直接读取环境变量，绕过n8n的凭证检索限制
• 问题4（browserless无法获取请求头凭证）：目标网站的凭证放在context里，脚本直接就能拿到；而browserless的验证Token用x-api-key头，browserless本身会自动校验，不需要你在脚本里处理
• 问题5（context会被凭证覆盖）：构造完整的context对象，把凭证和其他变量都包含进去，而不是单独赋值，自然不会覆盖

额外安全建议 #

• 确保n8n和browserless的Docker容器在同一个私有网络中，禁止外部直接访问browserless的端口
• 给browserless配置CORS规则，只允许n8n的容器IP访问
• 定期轮换环境变量里的凭证

内容的提问来源于stack exchange，提问作者Lukas