Argo Event Source Webhook与GitHub集成时提示‘无效授权头’错误求助

我正尝试将GitHub仓库与Argo Event Source Webhook集成，配置完成后，GitHub发来的事件返回Invalid Authorization Header（无效授权头）错误。

我的EventSource配置： #

apiVersion: argoproj.io/v1alpha1
kind: EventSource
metadata:
  name: ci-pipeline-webhook
spec:
  service:
    ports:
      - port: 12000
        targetPort: 12000
  webhook:
    start-pipeline:
      port: "12000"
      endpoint: /start-pipeline
      method: POST
      authSecret:
        name: my-webhook-token
        key: my-token

错误响应截图： #

排查与解决方法 #

1. 匹配授权验证方式 #

Argo Event Source的authSecret默认采用Bearer Token验证，但GitHub Webhook默认用HMAC签名，两者不匹配会触发授权错误，两种适配方案：

方案一：调整GitHub Webhook适配Bearer Token

在GitHub仓库的Webhook设置中，将「Secret」字段设置为Bearer <你的token值>（比如Bearer abc123xyz），确保该值和K8s Secretmy-webhook-token里的my-token内容完全一致。

方案二：改用Argo的GitHub专属HMAC验证（推荐）

修改EventSource配置，替换authSecret为GitHub专属的HMAC验证配置，直接适配GitHub的签名逻辑：

apiVersion: argoproj.io/v1alpha1
kind: EventSource
metadata:
  name: ci-pipeline-webhook
spec:
  service:
    ports:
      - port: 12000
        targetPort: 12000
  webhook:
    start-pipeline:
      port: "12000"
      endpoint: /start-pipeline
      method: POST
      github:
        secret:
          name: my-webhook-token
          key: my-token

此时GitHub Webhook的「Secret」直接填写你存在K8s Secret中的原始值即可，无需添加Bearer前缀。

2. 验证K8s Secret的正确性 #

执行命令检查Secret内容是否和GitHub配置一致：

kubectl get secret my-webhook-token -o jsonpath='{.data.my-token}' | base64 -d

确保输出无多余空格、换行，与GitHub设置的Secret完全匹配。

3. 查看请求日志定位问题 #

如果问题仍存在，查看Argo Event Source的日志，确认GitHub请求头格式：

kubectl logs -l eventsource-name=ci-pipeline-webhook -f

检查Authorization头的格式是否和你配置的验证规则匹配。

内容的提问来源于stack exchange，提问作者Padmasankha