POST请求本地运行正常但部署Google GAE后失败的问题排查

向NodeJS服务器发起登录请求（原文笔误标注为GET请求，实际为POST请求），前端登录提交逻辑代码如下：

document.getElementById("login_submit").addEventListener("click", function(e) {
    e.preventDefault();

    let email = document.getElementById("email").value;
    let password = document.getElementById("password").value;
    let requestOptions = {
        method: "POST",
        headers: {
            'Content-Type': 'application/json',
            'Accept': 'application/json'
        },
        body: JSON.stringify({email, password})
    }
 
    fetch("/login", requestOptions)
    .then(response => response.json())
    .then(data => {
        if (data.error_description) {
            alert("Wrong email or password.");
        }
        else {
            // 拿到返回的token
            let token = data.id_token;
            let userId = data.id.sub
            console.log(userId, token)

            fetch("/generateJwt/profile?" + new URLSearchParams({token, userId}))
            .then(res => {
                console.log(res);
                window.location.assign(res.url);
            })
        }
    });
})

应用在localhost本地环境运行时功能完全正常，但部署到Google App Engine（GAE）后登录功能异常，返回502状态码与语法错误，错误截图如下：

服务端处理登录请求的路由代码如下：

login.post('/', function (req, res) {
    const username = req.body.email;
    const password = req.body.password;
    var options = {
        method: 'POST',
        url: `https://${DOMAIN}/oauth/token`,
        headers: { 'content-type': 'application/json' },
        body:
        {
            grant_type: 'password',
            username: username,
            password: password,
            client_id: CLIENT_ID,
            client_secret: CLIENT_SECRET
        },
        json: true
    };
    request(options, (error, response, body) => {
        if (error) {
            res.status(500).send(error);
        } else {
            console.log(parseJwt(body.id_token));
            let userId = parseJwt(body.id_token);
            let data = {
                id: userId,
                id_token: body.id_token
            }
            res.json(data);
        }
    });

});

当前使用的parseJwt函数实现如下，VS Code提示新代码不建议使用atob方法，需要确认该提示是否为GAE部署后请求失败的根因，以及对应的解决方法。

function parseJwt(token) {
    var base64Url = token.split('.')[1];
    var base64 = base64Url.replace(/-/g, '+').replace(/_/g, '/');
    var jsonPayload = decodeURIComponent(atob(base64).split('').map(function (c) {
        return '%' + ('00' + c.charCodeAt(0).toString(16)).slice(-2);
    }).join(''));

    return JSON.parse(jsonPayload);
};

• atob相关问题确实是502错误的直接诱因：VS Code提示不推荐atob的核心原因是，该方法最初是浏览器端专属Web API，Node.js直到v16.0.0版本才将其加入全局对象。如果GAE部署时配置的Node.js运行版本低于16，服务端执行parseJwt函数时会直接抛出ReferenceError: atob is not defined，导致Node进程崩溃，前端最终收到502 Bad Gateway响应。本地运行正常大概率是因为本地Node版本≥16，或者开发环境提前注入了atob的polyfill。
• 现有代码存在额外隐患：服务端let userId = parseJwt(body.id_token)拿到的是JWT解析后的完整payload对象，不是单独的sub字段，虽然前端取data.id.sub的逻辑暂时不会报错，但属于冗余嵌套写法，后续字段迭代很容易触发取值异常。另外当前代码没有对OAuth接口返回的异常结构做判断，如果账号密码错误导致返回体无id_token字段，会直接触发解析undefined的报错。

1. 替换服务端base64解码逻辑，使用Node.js全版本兼容的原生Buffer API替代atob，无需引入第三方依赖，修改后的parseJwt函数如下：

function parseJwt(token) {
    const base64Url = token.split('.')[1];
    const base64 = base64Url.replace(/-/g, '+').replace(/_/g, '/');
    // 用Buffer做base64解码，兼容所有Node.js LTS版本
    const buffer = Buffer.from(base64, 'base64');
    const jsonPayload = decodeURIComponent(buffer.toString('utf-8').split('').map(function (c) {
        return '%' + ('00' + c.charCodeAt(0).toString(16)).slice(-2);
    }).join(''));
    return JSON.parse(jsonPayload);
}

2. 修正服务端字段取值逻辑，增加异常兜底判断，避免非法返回值触发服务报错：

request(options, (error, response, body) => {
    if (error) {
        return res.status(500).send(error);
    }
    // 提前判断返回结构是否合法，避免解析undefined
    if (!body.id_token) {
        return res.status(401).json({error_description: "Authentication failed"});
    }
    const tokenPayload = parseJwt(body.id_token);
    console.log(tokenPayload);
    let data = {
        id: {
            sub: tokenPayload.sub
        },
        id_token: body.id_token
    }
    res.json(data);
});

3. 检查GAE部署配置文件app.yaml里的Node.js运行时版本，建议指定为长期支持版，比如runtime: nodejs18，避免版本差异导致的兼容问题。

内容的提问来源于stack exchange，提问作者Jorge