GitHub Probot签名不匹配：本地正常K8s部署报错求助

以下是几种可能导致该问题的原因及对应的排查/解决方法：

• Base64解码后残留多余字符
  K8s Secret的Base64编码如果生成时带了换行或空格，解码后会导致secret值和原始字符串不一致。本地直接用纯文本secret没问题，但K8s里解码后的多余字符会让签名验证失败。
  排查：进入Pod执行echo $WEBHOOK_SECRET | cat -A，看输出是否有$以外的特殊字符（比如^M、换行符）。
  解决：用echo -n "你的原始secret" | base64重新生成编码（-n参数避免添加换行），然后更新K8s Secret。

• 环境变量注入时的特殊字符转义
  如果你的secret包含$、\、!这类特殊字符，K8s注入环境变量时可能会自动转义，导致应用拿到的secret和原始值不符。本地终端设置变量不会触发这种转义。
  解决：要么用echo -n "原始secret" | base64生成正确的编码（确保特殊字符被正确编码），要么把Secret挂载成文件，让Probot从文件读取secret，绕过环境变量的转义问题。

• 中间网关修改了请求Payload
  如果Probot服务前面有Ingress、Nginx这类网关，网关可能会对POST请求的body做压缩、格式化或字符编码修改，导致GitHub生成的签名和Probot收到的Payload计算出的签名不匹配。本地用smee代理是直接转发，没有中间层篡改。
  排查：对比本地smee收到的Payload和Pod里打印的Payload是否完全一致；查看网关日志，确认转发时没有修改body内容。
  解决：关闭网关的Payload压缩、自动格式化功能；确保Ingress配置中不对请求body做任何修改。

• 请求头被网关篡改
  GitHub的签名验证依赖x-hub-signature-256、x-github-event等请求头，如果网关转发时修改了这些头的格式（比如添加空格、引号）或者漏掉了头，会导致Probot验证失败。
  排查：在Pod里打印收到的所有请求头，和本地smee转发的请求头做对比。
  解决：调整网关配置，确保原样转发所有GitHub Webhook相关的请求头。

• 环境变量名称拼写错误
  虽然你说确认过secret正确，但可能在K8s Deployment里写错了环境变量的名称（比如把WEBHOOK_SECRET写成WEBHOOK_SECRETS），导致Probot读取不到正确的secret，用空值或默认值去验证。
  排查：进入Pod执行printenv，检查对应的环境变量是否存在且值正确。
  解决：修正Deployment里的环境变量名称，确保和本地使用的完全一致。

内容的提问来源于stack exchange，提问作者saint_burrito