Java Spring应用Event Grid Webhook验证失败（Unauthorized）求助

针对你在配置Azure App Configuration推送刷新时遇到的Event Grid Webhook验证未授权问题，可按以下步骤排查解决：

1. 确保Actuator端点权限配置正确 #

Spring Boot Actuator默认会保护管理端点，需明确放行/actuator/appconfiguration-refresh：

• 在配置文件（application.properties/application.yml）中添加：

  # 暴露刷新端点
  management.endpoints.web.exposure.include=appconfiguration-refresh
  management.endpoint.appconfiguration-refresh.enabled=true
  # Spring Security 放行配置（适配新版）
  spring.security.authorization.manager.request-matchers=/actuator/appconfiguration-refresh=permitAll
  

• 若使用旧版Spring Security（基于WebSecurityConfigurerAdapter），需在配置类中添加放行规则：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
      http.authorizeRequests()
          .antMatchers("/actuator/appconfiguration-refresh").permitAll()
          .anyRequest().authenticated();
  }
  

2. 正确处理Event Grid的验证请求 #

Event Grid Webhook验证要求端点能响应订阅验证请求：

• 当收到带有aeg-event-type: SubscriptionValidation的POST请求时，需从请求体中提取validationCode，并返回包含validationResponse字段的JSON响应。
• 若使用Azure App Config的Spring Boot Starter，确保依赖版本为最新稳定版，新版本会自动处理验证逻辑；旧版本需手动实现验证响应逻辑。

3. 检查Web App的Easy Auth设置 #

若Web App启用了App Service身份验证（Easy Auth），需配置路径例外：

• 在Azure门户进入Web App → 身份验证 → 身份提供程序 → 编辑 → 受保护的路径，添加/actuator/appconfiguration-refresh并设置为允许匿名访问，避免验证请求被拦截。

4. 验证身份配置有效性 #

虽然错误源于Webhook验证，但仍需确认推送刷新的身份配置：

• 若使用用户分配托管标识，确保该标识拥有Azure App Configuration的App Configuration Data Reader权限。
• 若使用连接字符串，确认字符串格式正确、权限足够（至少只读）且未过期。

5. 测试端点可用性 #

通过curl或Postman测试端点能否正常响应：

curl -X POST https://abc.azurewebsites.net/actuator/appconfiguration-refresh \
-H "aeg-event-type: SubscriptionValidation" \
-d '{"validationCode":"test-validation-code"}'

预期返回状态码200，响应体为{"validationResponse":"test-validation-code"}。

内容的提问来源于stack exchange，提问作者user22693343