如何解决Twilio SendGrid调用Cloud Run的身份令牌不匹配问题？

我正尝试在GCP中创建一个API，作为Twilio SendGrid事件webhook的目标端点。我需要对请求进行身份验证（拒绝未认证请求），但不确定正确的实现方式。根据SendGrid官方文档，若提供Client Id和Secret，SendGrid会从GCP认证服务器生成access token，但Cloud Run要求的是identity token。我的理解是否正确？若正确，是否有解决办法？

你的理解完全正确：SendGrid的OAuth客户端凭证流程生成的是access token，而Cloud Run内置身份验证要求的是identity token，二者属于不同类型的令牌，无法直接兼容。以下是两种可行的解决思路：

方法一：自定义认证逻辑（推荐） #

绕过Cloud Run的内置身份验证，在API代码中直接实现对SendGrid access token的验证：

• 从请求的Authorization头中提取Bearer格式的令牌
• 调用GCP令牌验证接口校验令牌有效性，重点检查令牌的受众（aud）是否匹配你的GCP Client ID，同时确认发行方为GCP认证服务
• 验证通过后再处理业务逻辑，否则返回401未授权响应

Python示例代码片段：

import requests
from flask import Flask, request, abort

app = Flask(__name__)
# 替换为你的GCP Client ID
CLIENT_ID = "your-gcp-client-id"

@app.route("/sendgrid-webhook", methods=["POST"])
def handle_webhook():
    auth_header = request.headers.get("Authorization")
    # 检查Authorization头格式
    if not auth_header or not auth_header.startswith("Bearer "):
        abort(401)
    
    token = auth_header.split(" ")[1]
    # 调用GCP令牌验证接口
    validate_url = f"https://www.googleapis.com/oauth2/v3/tokeninfo?access_token={token}"
    response = requests.get(validate_url)
    
    if response.status_code != 200:
        abort(401)
    
    token_info = response.json()
    # 校验令牌受众是否匹配
    if token_info.get("aud") != CLIENT_ID:
        abort(401)
    
    # 处理SendGrid事件逻辑
    return "Success", 200

if __name__ == "__main__":
    app.run(host="0.0.0.0", port=8080)

方法二：借助Cloud Endpoints做令牌适配 #

如果不想修改API代码，可以用Cloud Endpoints作为中间层，完成令牌的转换和验证：

• 配置Cloud Endpoints的自定义认证规则，先验证SendGrid发送的access token
• 配置Endpoints将验证通过的请求转发到Cloud Run服务，并自动添加符合要求的identity token
• 让SendGrid将webhook请求发送到Cloud Endpoints的地址，而非直接调用Cloud Run

这种方式无需改动业务代码，但需要额外维护Cloud Endpoints的配置与部署。

内容的提问来源于stack exchange，提问作者swygerts