使用Probot框架开发GitHub应用时遇签名不匹配错误求助

这个报错是Probot开发里最常见的问题之一，本质就是GitHub的webhook请求签名验证失败了——说白了就是你的应用用来验证签名的密钥，和GitHub那边配置的对不上。我来一步步帮你排查解决：

1. 核对Webhook密钥是否完全一致 #

这是最核心的原因：

• 打开GitHub，进入你的App设置页面（路径：Settings > Developer settings > GitHub Apps > 你的应用），找到Webhook secret区域，复制你设置的密钥（如果还没设置，点击"Generate a new secret"生成一个，务必记下来）。
• 检查你的应用运行环境中，APP_SECRET这个环境变量的值是不是和上面的密钥完全一样——注意大小写、空格、特殊字符都不能有差异，多一个少一个字符都会直接验证失败。

2. 确认环境变量是否正确加载 #

有时候密钥是对的，但应用根本没读到环境变量：

• 可以临时在你的index.js里加一行日志，验证变量是否加载：

  module.exports = (robot) => {
    robot.log('Yay, the app was loaded!');
    // 临时添加：检查APP_SECRET是否存在
    robot.log('APP_SECRET status:', process.env.APP_SECRET ? '已加载' : '未加载');
    robot.on('*', async context => {
      robot.log('Some event occured!');
    });
  }
  

• 运行应用后看日志，如果显示"未加载"，那你得检查：
  • 本地开发的话，是否用了dotenv，.env文件里有没有正确写APP_SECRET=你的密钥；
  • 部署环境（比如Vercel、Heroku）的环境变量配置里，有没有添加APP_SECRET并设置正确值。

3. 检查Webhook的基础配置 #

还有两个容易忽略的小细节：

• 确保GitHub上的Webhook URL是你的应用能正常接收请求的地址（本地开发用ngrok的话，要确认ngrok地址没过期，GitHub上的URL已经更新）；
• Webhook的Content type必须设置为application/json，Probot默认只处理这种格式的请求。

4. 重新安装应用到仓库 #

如果上面都检查过没问题，试着把应用从仓库卸载，再重新安装一次——有时候修改密钥后，GitHub需要重新绑定签名规则，重新安装能解决这类缓存性的问题。

补充原理 #

GitHub会用你设置的Webhook密钥，对每个事件的payload做HMAC SHA-256签名，放在请求头的X-Hub-Signature-256里。Probot收到请求后，会用APP_SECRET重新计算签名并对比，不一致就会抛出这个错误——这是安全机制，防止恶意伪造的请求。

内容的提问来源于stack exchange，提问作者abhijeetps