Canvas LTI在AWS开发环境正常运行，部署至带负载均衡的生产环境时返回“Invalid consumer key”问题排查求助

嘿，这个场景我之前帮团队排查过类似的问题，结合你描述的情况——开发环境直接访问EC2正常、生产环境走负载均衡器就报错，且代码/AMI完全一致，大概率是负载均衡器的配置或者LTI请求传递过程中出了问题。给你列几个优先级较高的排查方向：

• 检查负载均衡器的请求转发配置

  • 首要确认ELB是否完整转发了请求的原始Host头。很多LTI验证逻辑会依赖请求的Host字段匹配对应的consumer key/secret，如果ELB替换成了自身的Host地址，后端服务就找不到对应的密钥配置了。你可以在生产EC2的服务日志里查看请求的Host头，和开发环境的做对比。
  • 排查是否开启了HTTP与HTTPS的强制跳转。如果Canvas发起的是HTTPS请求，但ELB转发给后端用了HTTP（或者反之），会导致LTI签名验证失败——因为OAuth签名会包含请求的协议、URL等核心信息，协议不一致直接触发验证错误，部分服务会统一提示为"Invalid consumer key"。

• 验证LTI请求的签名参数完整性

  • 在生产环境的EC2上打印完整的LTI请求参数（包括oauth_consumer_key、oauth_signature、oauth_nonce等OAuth相关字段），和开发环境的请求参数做对比。排查是否存在ELB或WAF规则误删、修改了签名相关参数的情况——比如有些安全规则会过滤带特殊字符的签名值，直接导致验证失败。
  • 重点确认oauth_consumer_key字段在生产环境的请求中是否正确传递，有没有被意外篡改。

• 核对后端服务的consumer key配置

  • 虽然你提到代码和AMI一致，但要确认生产环境的配置（比如环境变量、数据库中的consumer key记录）是否匹配生产域名。比如Canvas后台配置的是ELB的生产域名，但后端服务只配置了EC2直接访问的域名对应的key，这样就会出现key不匹配的情况。
  • 验证生产环境的服务是否正确加载了配置文件，有没有因为环境变量未设置、配置文件路径错误等问题，导致加载了默认的开发环境key。

• 排查负载均衡器的路由与会话策略

  • 暂时关闭ELB的会话粘性（如果开启了），测试是否还会报错。虽然所有EC2都是同一AMI，但不排除个别实例在启动时配置加载异常，会话粘性会把请求固定到异常实例上。
  • 检查ELB的健康检查状态，确认所有后端EC2实例都是健康状态。如果请求被转发到了未完全启动的不健康实例，服务可能无法正常处理验证逻辑，进而抛出错误。

• 抓包对比请求差异

  • 在开发环境和生产环境分别抓包（比如用tcpdump或服务端的详细日志），对比Canvas发送的原始请求，从Canvas到ELB、再到EC2的整个链路中，请求的URL、参数、头信息是否有变化。只要OAuth签名依赖的任何一个字段（协议、Host、参数、路径）被修改，都会导致签名验证失败，部分服务会将其统一提示为"Invalid consumer key"。

内容的提问来源于stack exchange，提问作者user3473534