关于Autodesk Webhook对接Appian Web API的鉴权方式咨询

Autodesk Webhook是否支持传递Appian API密钥？ #

Autodesk Webhook的官方API目前不支持直接在创建请求中传入API密钥或自定义鉴权参数。其Webhook创建接口（POST /webhooks/v1/hooks）的请求体仅包含callbackUrl、event、filter、secret等字段，没有预留用于传递第三方API密钥的输入项。

可行的解决方案 #

以下是几种实用的适配方案，按安全性和可维护性排序：

• 验证Autodesk请求签名（官方推荐）
  创建Autodesk Webhook时设置secret参数，Autodesk发送回调请求时会生成X-Signature请求头（基于secret和请求体的HMAC签名）。在Appian的Web API中配置逻辑：提取该签名头，用相同的secret和请求体重新计算签名，对比一致则确认请求合法。这种方式无需暴露Appian的API密钥，同时能有效防止伪造请求。
• 搭建中间代理服务
  开发轻量的中间转发服务（比如Node.js/Python HTTP服务），Autodesk Webhook先回调到代理服务，代理服务在请求头中添加Appian所需的API密钥，再转发请求到Appian的Web API。同时代理服务可以额外验证Autodesk的请求签名，双重保障安全。这种方案适合需要对接多个第三方Webhook的场景，便于统一管理鉴权逻辑。
• 在Callback URL中嵌入鉴权信息
  • 查询参数方式：将Appian API密钥作为查询参数添加到回调URL，比如https://your-appian-domain.com/webhook?apiKey=xxx，在Appian的Web API中提取该参数做鉴权。注意：此方式密钥会出现在URL日志中，必须配合HTTPS使用，且定期轮换密钥。
  • 基础认证方式：如果Appian支持Basic Auth，可将认证信息嵌入URL的基础认证部分，比如https://username:encoded-password@your-appian-domain.com/webhook，Autodesk的Webhook服务会自动携带该认证信息发送请求。

其他BPM系统的常见处理方式 #

• 代理层统一适配：Camunda、IBM BPM等主流BPM系统通常会推荐使用中间代理服务，将第三方Webhook的无鉴权请求转换为符合自身系统鉴权要求的请求，同时统一处理请求验证和日志记录。
• 内置签名验证：部分BPM系统（比如Pega Platform）内置了第三方Webhook的签名验证功能，可直接配置Autodesk的secret来验证请求合法性，无需额外鉴权参数。
• URL嵌入鉴权信息：对于没有复杂集成能力的小型BPM系统，会采用将鉴权信息嵌入Callback URL的方式快速完成对接，同时配合HTTPS保障传输安全。

内容的提问来源于stack exchange，提问作者Ángel Enrique García Adasme