本地正常的OpenAI聊天Bot部署Heroku时遇Authorization头字符错误

可能原因及排查方向 #

1. 环境变量包含多余字符 #

本地配置的环境变量通常输入干净，但在Heroku配置时容易不小心引入空格、换行或引号：

• 排查步骤：
  • 登录Heroku控制台，执行命令打印环境变量值：heroku run echo $YOUR_API_KEY_VAR，检查输出是否有前后空格、换行符或多余引号。
  • 在代码中添加日志，打印encodedApiKey的原始值，确认是否存在无效字符。
  • 修复方案：在拼接Authorization头时添加trim()处理，清除多余字符：

    Authorization: `Bearer ${encodedApiKey.trim()}`,
    

2. API Key编码过程引入无效字符 #

如果encodedApiKey是经过编码（如Base64）生成的，可能因编码逻辑或环境差异引入非法字符：

• 排查步骤：
  • 检查编码逻辑，确保使用标准编码方式，比如Node.js中：Buffer.from(apiKey).toString('base64')，避免自定义编码导致的问题。
  • 验证编码后的字符串是否包含HTTP头禁止的字符（如控制字符、非ASCII字符），必要时使用encodeURIComponent()处理编码后的Key：

    Authorization: `Bearer ${encodeURIComponent(encodedApiKey)}`,
    

3. FetchEventSource依赖版本或环境差异 #

本地与Heroku的Node版本、FetchEventSource包版本不一致，可能导致请求头处理逻辑差异：

• 排查步骤：
  • 检查package.json中fetch-event-source的版本，确保本地与Heroku安装的版本一致（避免使用^前缀导致自动升级）。
  • 将headers中的属性名改为字符串形式，避免潜在的解析问题：

    headers: {
      'Content-Type': 'application/json',
      'Authorization': `Bearer ${encodedApiKey.trim()}`,
    },
    

4. 后端中间件或Heroku代理篡改请求头 #

后端的CORS中间件、自定义拦截器，或Heroku的代理服务可能意外修改请求头：

• 排查步骤：
  • 在后端接口中打印接收到的Authorization头，对比前端发送的值，确认是否被篡改。
  • 检查CORS配置，确保明确允许Authorization请求头通过：

    // 示例Express CORS配置
    app.use(cors({
      allowedHeaders: ['Content-Type', 'Authorization'],
      exposedHeaders: ['Authorization']
    }));
    

临时调试技巧 #

• 在前端发送请求前，打印完整headers对象：console.log('Request Headers:', JSON.stringify(headers))，直观检查Authorization字段内容。
• 查看Heroku应用日志（heroku logs --tail），追踪请求的实际发送情况，定位头信息异常点。

内容的提问来源于stack exchange，提问作者luis alvear