Slack apps.connections.open请求体传token返回invalid_auth问题求助

问题根因 #

apps.connections.open 接口存在特殊认证限制：仅支持通过 Authorization: Bearer <token> 请求头传递xapp-1开头的应用级token，不支持POST请求体传参。即便Slack通用API文档标注支持两种传参方式，该接口属于例外场景，这就是你请求体传参返回invalid_auth的直接原因。

浏览器跨域限制说明 #

你遇到的CORS限制是Slack的主动安全设计：

• 所有需要认证的Slack API默认都未开放前端跨域调用权限，access-control-allow-headers 不包含Authorization头就是为了拦截浏览器端直接发起的认证请求
• Slack官方明确禁止在客户端（浏览器）环境直接调用带认证的API，核心目的是避免token明文暴露在前端代码、请求日志中造成泄露风险

可行解决方案 #

如果需要从前端触发该接口的调用，必须通过自有后端服务转发请求：

1. 前端先向你自己的后端服务发起请求
2. 后端服务携带Slack token向https://slack.com/api/apps.connections.open发起调用，拿到结果后返回给前端
3. 该方案既可以绕开CORS限制，也能避免Slack token直接暴露在前端环境

内容的提问来源于stack exchange，提问作者asari