使用BotBuilder Facebook适配器时遇请求无效签名错误排查

看起来你踩了Bot Framework第三方适配器测试的一个常见坑——Bot Framework Emulator并不适合用来测试FacebookAdapter，这个错误的根源就在这里，我来给你拆解清楚并提供解决方案：

为什么会出现这个错误？ #

FacebookAdapter在处理POST请求时，会严格按照Facebook的规则验证请求签名：它会用你的FACEBOOK_APP_SECRET和请求内容生成一个签名，再和请求头里的X-Hub-Signature-256对比。但Bot Framework Emulator发送的请求根本不会带上这个Facebook专属的签名，所以适配器直接判定请求无效，抛出了这个错误。

正确的测试/调试方式 #

1. 不要用Emulator测试FacebookAdapter #

Emulator是专门为Bot Framework原生的BotFrameworkAdapter设计的，用来测试Web Chat、Teams这类官方渠道没问题，但对Facebook、Slack这类第三方适配器不兼容。要测试FacebookAdapter，你需要：

• 让Facebook能访问到你的服务（本地调试用ngrok暴露公网地址）
• 使用Facebook官方的测试工具/测试账号发送消息

2. 本地调试的完整步骤 #

a. 用ngrok暴露本地服务

Facebook的Webhook需要能访问到公网地址，所以先启动ngrok把你的本地端口（比如3000）映射到公网：

ngrok http 3000

运行后你会得到一个类似https://abc123.ngrok.io的公网地址，这个就是你要给Facebook配置的Webhook地址。

b. 配置Facebook开发者后台

• 进入你的Facebook应用后台，找到Messenger产品的Webhook设置
• 把Webhook URL设置为https://abc123.ngrok.io/api/messages
• 验证令牌要和你.env文件里的FACEBOOK_VERIFY_TOKEN完全一致
• 勾选订阅messages、messaging_postbacks等你需要的事件类型

c. （可选）本地临时跳过签名验证（仅开发环境！）

如果你只是想快速测试机器人的业务逻辑，不想每次都通过Facebook发送请求，可以临时关闭签名验证，但绝对不能在生产环境这么做：
修改你的FacebookAdapter初始化代码，添加verifySignature: false参数：

const adapter = new FacebookAdapter({
    "verify_token": process.env.FACEBOOK_VERIFY_TOKEN,
    "app_secret": process.env.FACEBOOK_APP_SECRET,
    "access_token": process.env.FACEBOOK_ACCESS_TOKEN,
    "verifySignature": false // 仅本地调试用，上线前务必删除！
});

之后你就可以用Postman这类工具，模拟Facebook的Webhook请求格式发送POST请求到http://localhost:3000/api/messages，测试机器人的回复逻辑。

3. 最后检查令牌配置 #

确保你的.env文件里的三个关键值完全正确：

• FACEBOOK_VERIFY_TOKEN：和Facebook后台配置的验证令牌一字不差
• FACEBOOK_APP_SECRET：从Facebook应用设置的「基本信息」里复制的应用密钥
• FACEBOOK_ACCESS_TOKEN：从Messenger产品设置里获取的页面访问令牌（不是用户令牌）

这些值如果有拼写错误，即使是来自Facebook的请求，也会触发签名验证失败。

内容的提问来源于stack exchange，提问作者imlearningcode