Slack应用迁移企业工作区后无法验证x-slack-signature求助

问题背景 #

我有一个已使用多年的Slack应用，原本仅在单个工作区使用。接收Slack命令时，会按照Slack API文档中的描述执行常规鉴权检查。此前运行正常，但迁移到企业工作区后，x-slack-signature始终与计算值不一致，已多次确认signing secret与应用设置中的一致。

我的验证代码：

const requestSignatureHeader = req.headers["x-slack-signature"] as string;
const requestTimestamp = req.headers["x-slack-request-timestamp"];
const hmac = crypto.createHmac("sha256", this.signingSecret);
const [version, requestSignature] = requestSignatureHeader.split("=");
const rawBody = stringify(req.body)
        .replace(/\+/g, "%2B")
        .replace(/%20/g, "+")
        .replace(/!/g, "%21")
        .replace(/'/g, "%27")
        .replace(/:/g, "%3A")
        .replace(/,/g, "%2C")
        .replace(/@/g, "%40")
        .replace(/\//g, "%2F");
const stringToSign = `${version}:${requestTimestamp}:${rawBody}`;
hmac.update(stringToSign);
const calculatedSignature = hmac.digest("hex");
const isValid = requestSignature === calculatedSignature;

可能的原因及解决方法 #

1. 手动处理请求Body的编码错误 #

Slack的签名计算基于原始HTTP请求的Body内容（即Slack发送的未解析、未修改的URL编码字符串），但你的代码是将解析后的req.body对象重新序列化后手动替换字符，这必然会和原始Body产生差异——比如键值对顺序、编码细节的不一致，都会导致签名计算失败。

解决方法：
直接获取原始未解析的请求Body，而非从解析后的对象生成。以Express框架为例：

• 配置body-parser中间件时，通过verify函数保存原始Body：

  app.use(bodyParser.urlencoded({
    extended: true,
    verify: (req: any, res, buf) => {
      req.rawBody = buf.toString();
    }
  }));
  

• 验证签名时直接使用req.rawBody，无需手动替换字符：

  const rawBody = req.rawBody;
  const stringToSign = `${version}:${requestTimestamp}:${rawBody}`;
  

2. 检查服务器的请求解析配置 #

确保服务器接收的是application/x-www-form-urlencoded格式请求，且没有对Body进行额外的编码/解码操作。企业工作区的请求格式和单工作区一致，但如果服务器中间件有特殊配置（比如自动转换编码），会导致Body内容篡改，进而签名不匹配。

3. 附加：验证请求时间戳 #

虽然当前问题是签名不一致，但建议同时检查请求时间戳是否在5分钟以内（Slack的安全要求），避免因时间差导致的隐性验证失败：

const now = Math.floor(Date.now() / 1000);
if (Math.abs(now - Number(requestTimestamp)) > 60 * 5) {
  // 请求过期，直接拒绝
  return false;
}

内容的提问来源于stack exchange，提问作者Crabar