如何在Google Cloud Run上使用http4k验证Twilio请求来源？现有验证方案失败的解决办法

我之前在Cloud Run上部署Twilio相关服务时也碰到过完全相同的验证失败问题，结合你的技术栈（Kotlin、http4k、Twilio Java SDK v8.19），这里有几个经过验证的解决方案：

1. 修复Cloud Run的URI代理问题 #

Cloud Run作为托管服务会通过反向代理转发请求，导致http4k拿到的request.uri是代理后的内部地址，而不是Twilio实际调用的原始外部URI。Twilio的签名是基于原始请求的完整URL计算的，所以必须获取正确的原始URI：

修改你的代码中获取URI的逻辑，使用Cloud Run提供的X-Forwarded-Proto和X-Forwarded-Uri头来构建原始地址：

private val forwardedProtoLens = Header.optional("X-Forwarded-Proto")
private val forwardedUriLens = Header.optional("X-Forwarded-Uri")
private val forwardedHostLens = Header.optional("X-Forwarded-Host")

// 在验证逻辑中替换uri的获取：
val originalUri = run {
    val proto = forwardedProtoLens(request) ?: "https" // Cloud Run默认使用HTTPS
    val host = forwardedHostLens(request) ?: request.host
    val uriPath = forwardedUriLens(request) ?: request.uri.toString()
    "$proto://$host$uriPath"
}

2. 合并查询参数与表单参数 #

Twilio的签名计算会包含所有请求参数（不管是URL查询参数还是POST表单参数），但你的代码目前只提取了表单参数，遗漏了查询参数。修改参数收集逻辑：

// 合并查询参数和表单参数，并过滤掉null值，处理多值参数取第一个
val paramMap = (request.queries().toParametersMap() + request.form().toMap())
    .mapValues { it.value?.firstOrNull() }
    .filterValues { it != null }
    .mapValues { it.value!! } // 转为非空Map，适配验证方法

3. 手动实现签名验证（替代Twilio SDK） #

鉴于Twilio Java SDK的RequestValidator测试覆盖率极低，且官方文档对计算逻辑描述模糊，手动实现签名验证能避免SDK潜在的问题。Twilio签名的计算逻辑是：

• 将原始请求的完整URL（包括协议、域名、路径、查询参数）作为基础字符串
• 添加所有POST表单参数：按参数名字母排序，拼接成key1=value1&key2=value2的格式（值需要URL编码）
• 用Twilio Auth Token作为密钥，对上述字符串进行HMAC-SHA1加密，再转成Base64编码
• 对比生成的Base64字符串与请求头X-Twilio-Signature的值

对应的Kotlin实现示例：

import javax.crypto.Mac
import javax.crypto.spec.SecretKeySpec
import java.util.Base64
import java.net.URLEncoder

fun validateTwilioSignature(
    originalUrl: String,
    params: Map<String, String>,
    signature: String,
    authToken: String
): Boolean {
    // 按参数名字典序排序
    val sortedParams = params.toSortedMap()
    // 拼接URL编码后的参数字符串
    val paramString = sortedParams.entries.joinToString("&") {
        "${it.key}=${URLEncoder.encode(it.value, "UTF-8")}"
    }
    // 组合待签名的完整字符串
    val signString = originalUrl + paramString

    // 计算HMAC-SHA1并转Base64
    val mac = Mac.getInstance("HmacSHA1")
    mac.init(SecretKeySpec(authToken.toByteArray(), "HmacSHA1"))
    val hash = mac.doFinal(signString.toByteArray())
    val computedSignature = Base64.getEncoder().encodeToString(hash)

    // 对比签名（Base64大小写敏感）
    return computedSignature == signature
}

然后在你的验证断言中替换为这个手动实现的方法即可。

4. 单元测试的正确模拟 #

在单元测试中，需要模拟Cloud Run的转发头（X-Forwarded-Proto、X-Forwarded-Uri等），同时可以根据上述手动逻辑生成测试用的签名，确保测试用例的参数和签名完全匹配，避免因环境差异导致的测试失败。

内容的提问来源于stack exchange，提问作者aSemy