如何在Slack Incoming Webhook中添加私有文件？400错误排查

背景与已执行步骤 #

• 配置Slack应用的Incoming Webhook，完成权限设置及频道集成
• 按指引上传私有文件
• 使用Postman触发Webhook
• 收到invalid_blocks错误及HTTP 400状态码

请求体内容 #

{
  "text": "Danny Torrence left a 1 star review for your property.",
  "blocks": [
    {
      "type": "section",
      "text": {
        "type": "mrkdwn",
        "text": "Danny Torrence left the following review for your property:"
      }
    },
    {
      "type": "section",
      "block_id": "section567",
      "text": {
        "type": "mrkdwn",
        "text": "<https://example.com|Overlook Hotel> \n :star: \n Doors had too many axe holes, guest in room 237 was far too rowdy, whole place felt stuck in the 1920s."
      },
      "accessory": {
        "type": "image",
        "image_url": "https://is5-ssl.mzstatic.com/image/thumb/Purple3/v4/d3/72/5c/d3725c8f-c642-5d69-1904-aa36e4297885/source/256x256bb.jpg",
        "alt_text": "Haunted hotel image"
      }
    },
    {
      "type": "section",
      "block_id": "section789",
      "fields": [
        {
          "type": "mrkdwn",
          "text": "*Average Rating*\n1.0"
        }
      ]
    },
    {
      "type": "image",
      "title": {
        "type": "plain_text",
        "text": "Please enjoy this photo of a kitten"
      },
      "block_id": "image4",
      "slack_file": {
        "url": "https://files.slack.com/files-pri/00000000000-00000000000/testphoto.jpg"
      },
      "alt_text": "An incredibly cute kitten."
    }
  ]
}

已尝试的操作 #

• 尝试通过url或id两种方式指定私有文件
• 使用Block Kit Builder验证请求体，显示正常且发送到Slack可正常工作
• 仅保留请求体中的image块，仍出现invalid_blocks错误
• 使用公网图片的image_url可正常发送消息
• 无论上传文件时是否指定发送到频道，均失败
• 为Bot Token和User Token授予全部权限，仍失败
• 重新集成应用并重新添加Bot到目标频道，仍失败
• 确认上传文件和发送Webhook消息的是同一个Bot

核心问题 #

1. 是否可以在Incoming Webhook消息中包含私有Slack文件？
2. 若可行，还遗漏了哪些步骤？

（注：未尝试使用sharedPublicURL API，因为不希望公开文件）

解答 #

1. 能否在Incoming Webhook中嵌入私有Slack文件？
   不行。Incoming Webhook是无需认证的轻量消息推送机制，无法传递私有文件所需的访问认证凭据（如Token），Slack会拒绝未授权的私有文件访问请求，进而触发invalid_blocks错误。

2. 替代方案（无需公开文件）
   若要在消息中嵌入私有文件，需改用Slack的chat.postMessage API，步骤如下：

• 确保Bot Token拥有files:read权限，以及目标频道的chat:write权限
• 上传私有文件后，获取文件的id
• 在chat.postMessage请求体的blocks结构中，将image块的slack_file字段设置为包含文件id的对象，示例：

{
  "channel": "目标频道ID",
  "blocks": [
    {
      "type": "image",
      "title": {
        "type": "plain_text",
        "text": "私有文件图片"
      },
      "slack_file": {
        "id": "F1234567890"
      },
      "alt_text": "私有文件描述"
    }
  ]
}

• 使用Bot Token发起chat.postMessage请求，Slack会基于Token权限验证文件访问资格，确保私有文件仅对有权限的用户可见。

内容的提问来源于stack exchange，提问作者Franz Andel