HTML调用Slack API conversations.history返回invalid_auth错误如何解决

安全阿岳

2026-9-25

问题原因分析

令牌传参方式不兼容：Slack当前对新创建的应用已默认不支持将Bot令牌放在URL查询参数中进行鉴权，仅支持通过Authorization请求头传递令牌，旧应用因为历史兼容规则仍支持URL传参，所以旧Bot可以正常调用，新Bot返回鉴权失败。
请求头调用写法错误：你代码中注释的setRequestHeader写法错误，该方法是函数调用而非属性赋值，即使放开注释也无法正常传入鉴权头。
令牌/参数编码错误：手动拼接URL参数时，如果令牌或频道ID包含需要URL编码的特殊字符（如+、/、=、空格等），会导致参数传递错误，刚好旧Bot的令牌没有特殊字符可以正常运行，新Bot的令牌存在特殊字符就会鉴权失败。
工作区安全限制：新Bot所在的工作区可能开启了IP白名单限制，Slack官方测试工具的IP属于Slack内部地址默认放行，你本地请求的IP不在白名单中，就会返回鉴权失败。
令牌复制错误：复制令牌时可能不小心带入了多余的换行、空格，或者少复制了字符，核对的时候没注意到。

解决方案

优先使用Authorization头传递令牌，不要把令牌放在URL查询参数中，修正请求代码的写法，同时使用searchParams自动处理参数编码，避免手动拼接的编码问题。
修正后的代码示例：

<html>
<head>
</head>
<body>

<button id = "SendButton" onclick="GetChannelFromSlack()">GET</button>
<p id="GET API Output">Test</p>

</body>

<script>
function GetChannelFromSlack() {
    var slackBotToken = "替换为你的真实Bot令牌";
    var slackChannelID = "替换为你的真实频道ID";

    var getSlackData = new XMLHttpRequest();
    var url = new URL('https://slack.com/api/conversations.history');
    // 用searchParams自动处理参数编码，不要手动拼接
    url.searchParams.append('channel', slackChannelID);
        
    getSlackData.open( "GET", url, true );
    // 正确设置鉴权头，注意是方法调用不是属性赋值
    getSlackData.setRequestHeader('Authorization', 'Bearer ' + slackBotToken);
    getSlackData.responseType = 'json';
    
    getSlackData.send();
    
    getSlackData.onload = function() { 
        var jsonResponse = getSlackData.response;
        document.getElementById("GET API Output").innerHTML = JSON.stringify(jsonResponse);
    }
}

</script>
</html>

先单独用curl验证令牌有效性，执行以下命令确认是否可以正常返回：

curl -H "Authorization: Bearer 你的真实Bot令牌" "https://slack.com/api/conversations.history?channel=你的真实频道ID"

如果curl执行后仍然返回invalid_auth，优先核对令牌是否复制正确、是否过期，同时检查Bot所在工作区的IP白名单设置，把你当前机器的IP添加到白名单中。
3. 重新核对Bot的权限配置，确认已经添加了channels:history（公域频道）或者groups:history（私域频道）的Scope，且配置更改后已经重新安装到工作区，令牌已经更新为最新版本。

内容的提问来源于stack exchange，提问作者dannington