Bitbucket应用PostInstallRedirect查询串携带JWT的处理方案问询

• 目前Bitbucket官方应用安装流程中，PostInstallRedirect URL默认附带JWT查询参数是标准既定行为，暂没有公开的全局配置项支持直接移除该参数。如果你不需要使用该参数，直接在服务端接收跳转请求时忽略该参数即可，不会对你现有基于安装webhook的JWT校验逻辑产生任何影响。
• 你提到的潜在安全风险，官方默认给这个跳转场景的JWT设置了极短的有效期，仅用于安装完成后的首次跳转上下文校验，只要你没有将完整带JWT的跳转URL存入明文访问日志、也没有对外泄露跳转链路，实际暴露风险是可控的。
• 调整为请求头传递的需求目前无法实现，因为PostInstallRedirect本质是浏览器端的302跳转行为，HTTP规范下浏览器原生跳转无法自定义请求头，技术层面没有落地的可能性。

如果你是针对Bitbucket Server/Data Center私有部署版本做开发，可以在你的服务前置反向代理层直接过滤掉该查询参数，只要你已经完成安装webhook的身份校验，就不会影响后续应用的正常授权使用。

内容的提问来源于stack exchange，提问作者Mithir