如何保障对接Azure Functions的Git Repository webhook安全

所有方案均为生产环境验证过的实操方法，按优先级配置即可：

一、基础鉴权配置（第一道防线） #

• 关闭函数匿名访问，把webhook对应函数的授权级别设置为function，单独生成专属的函数访问密钥，不要和其他函数共用，更不要用admin级密钥。Git端配置webhook时把密钥拼到URL的code查询参数里，每90天轮换一次密钥，旧密钥留24小时缓冲期再删除，避免轮换时调用中断。
• 强制开启Git平台Webhook签名校验，这是防伪造请求的核心。不管用GitHub、GitLab还是Azure DevOps，平台发请求时都会带签名头：GitHub对应X-Hub-Signature-256，GitLab对应X-Gitlab-Token，Azure DevOps对应X-VSS-Authentication。你在函数里取原始请求体字节流，用提前在Git端配置的专属webhook secret做HMAC-SHA256计算，结果和请求头的签名做比对，不匹配直接返回403。注意：必须用原始请求体计算，不能用反序列化后的对象转字符串算，格式变了签名会校验失败；比对时用时间安全比较函数，不要直接用==，防时序攻击。
  核心校验逻辑参考（Node.js环境）：

  const crypto = require('crypto');
  // secret存在函数应用配置的环境变量里，绝对不要硬编码在代码里
  const WEBHOOK_SECRET = process.env.WEBHOOK_SECRET;
  
  function isValidRequest(req) {
    const signHeader = req.headers['x-hub-signature-256'];
    if (!signHeader) return false;
    const hmac = crypto.createHmac('sha256', WEBHOOK_SECRET);
    const calcSign = 'sha256=' + hmac.update(req.rawBody).digest('hex');
    return crypto.timingSafeEqual(Buffer.from(calcSign), Buffer.from(signHeader));
  }
  

二、网络层防护（直接收窄暴露面） #

• 配置函数访问IP白名单：找对应Git平台官方公布的webhook出口IP段，在Azure Functions的「网络-访问限制」里加允许规则，只放通这些IP段，其余公网IP的请求直接在平台层拦截，根本到不了代码层。如果是私有部署的Git仓库，只加私有Git实例的出口IP就行，这步配完能拦掉90%以上的公网恶意扫描流量。
• 有条件的话直接关闭函数公网访问，把函数接入Azure虚拟网络，Git端通过专用终结点或者VNet对等连接调用webhook，整个链路不走公网，暴露面直接降到最低。

三、请求层校验（防恶意调用、重放、注入） #

• 校验合法事件范围：Git发的webhook都会带事件类型头，比如GitHub是X-GitHub-Event、GitLab是X-Gitlab-Event，只放通你实际需要处理的事件（比如push、PR合并），其他事件直接返回400丢弃。同时校验请求里携带的仓库ID、项目ID，必须和你绑定的目标仓库一致，防止别人拿其他仓库的合法请求打你的接口。
• 加时间戳校验防重放：取请求头里平台带的发送时间戳，和当前服务器时间做比对，时间差超过5分钟的请求直接判定为无效，防止攻击者截获合法请求后重复调用。
• 配置限流规则：要么用Azure API Management套在函数前面，要么直接给函数加限流中间件，按来源IP配置阈值，比如1分钟最多允许10次请求，超过直接返回429，防止恶意刷接口打满函数配额产生额外费用。
• 严格做输入校验：webhook逻辑里不要直接把请求里的参数拼到shell命令、SQL语句里执行，比如触发部署的逻辑，先校验分支名是不是在你允许的列表里（比如main、release/*开头的分支），不符合规则直接拒绝，防命令注入、SQL注入。

四、运维兜底机制 #

• 开全量访问日志：把所有webhook请求的来源IP、请求头、返回状态码、执行耗时都打到Azure Monitor日志里，配置告警规则：10分钟内出现超过5次401/403请求、或者短时间请求量超过日常峰值3倍，直接发告警通知运维。
• 给webhook函数配置独立资源配额：设置最大每日执行次数、最长执行超时（比如30秒强制终止），就算被恶意调用也不会占满整个函数应用的资源，不影响其他业务。
• 每季度做一次例行安全检查：轮换一次函数密钥和webhook签名secret，核对IP白名单和Git平台最新的出口段是否一致，审计历史调用日志有没有异常记录。

内容的提问来源于stack exchange，提问作者Azure World