如何通过BOT传递用户LDAP凭证登录JIRA执行命令？

我之前做过类似的集成，给你梳理下可行的落地步骤，核心思路是让用户在Spark中安全提供LDAP凭证，Botkit接收后用该凭证调用JIRA API执行操作，全程优先保障凭证安全：

1. 在Cisco Spark中安全收集用户LDAP凭证 #

Cisco Spark（现Webex Teams）支持自适应卡片消息，用这个方式收集凭证比明文消息安全得多：

• 发送带两个输入框的卡片：一个用于LDAP用户名，一个设为密码类型（输入内容隐藏）。
• 用户提交后，Spark会把表单数据推送到你的Botkit服务。

示例Botkit代码片段（处理卡片交互）：

controller.hears('jira登录', 'message', async(bot, message) => {
  // 发送登录卡片
  await bot.say({
    attachments: [{
      contentType: "application/vnd.microsoft.card.adaptive",
      content: {
        type: "AdaptiveCard",
        body: [
          { type: "TextBlock", text: "请输入你的LDAP凭证" },
          { type: "Input.Text", id: "ldapUsername", placeholder: "LDAP用户名" },
          { type: "Input.Text", id: "ldapPassword", placeholder: "LDAP密码", isPassword: true }
        ],
        actions: [{ type: "Action.Submit", title: "提交" }]
      }
    }]
  });
});

// 监听卡片提交事件
controller.on('attachmentAction', async(bot, message) => {
  const { ldapUsername, ldapPassword } = message.value;
  // 加密后存储凭证，绝对不能明文存
  await bot.setUserProperty(message.user, 'encryptedLdapCreds', encryptCredentials(ldapUsername, ldapPassword));
  await bot.reply(message, "凭证已保存，现在可以执行JIRA命令了，比如`创建bug`");
});

2. Botkit中安全处理用户凭证 #

• 加密存储：用AES等对称加密算法把用户名+密码加密后，存在Botkit的用户属性或会话存储中，密钥要单独保管，不能硬编码在代码里。
• 会话过期：给凭证设置有效期（比如24小时），到期自动清除，避免长期留存风险。
• 最小暴露：只在需要执行JIRA操作时才解密凭证，用完立即从内存中删除。

3. 使用用户LDAP凭证调用本地JIRA API #

本地部署的JIRA配置LDAP后，一般支持HTTP基本认证（Basic Auth），用用户的LDAP用户名和密码生成认证头即可调用JIRA REST API：

示例代码片段（Node.js环境）：

const axios = require('axios');
const crypto = require('crypto');

// 解密凭证工具函数
function decryptCredentials(encryptedData) {
  // 替换成你的实际加密/解密逻辑
  const decipher = crypto.createDecipher('aes-256-cbc', process.env.ENCRYPTION_KEY);
  let decrypted = decipher.update(encryptedData, 'hex', 'utf8');
  decrypted += decipher.final('utf8');
  return JSON.parse(decrypted);
}

// 执行JIRA操作的核心函数
async function executeJiraAction(userId, jiraCommand) {
  // 从Botkit获取加密后的凭证
  const user = await controller.storage.users.get(userId);
  const { username, password } = decryptCredentials(user.encryptedLdapCreds);

  // 生成Basic Auth请求头
  const authHeader = `Basic ${Buffer.from(`${username}:${password}`).toString('base64')}`;

  try {
    // 示例：调用JIRA API创建bug
    const response = await axios.post('https://你的本地JIRA地址/rest/api/3/issue', {
      fields: {
        project: { key: "PROJ" },
        summary: "测试Bug",
        description: "通过Bot创建的问题",
        issuetype: { name: "Bug" }
      }
    }, {
      headers: {
        'Authorization': authHeader,
        'Content-Type': 'application/json'
      },
      // 本地自签名证书场景可临时禁用SSL验证（生产环境不建议）
      rejectUnauthorized: false
    });

    return response.data;
  } catch (error) {
    // 处理认证失败等异常
    if (error.response?.status === 401) {
      throw new Error("LDAP凭证无效，请重新登录");
    }
    throw error;
  }
}

4. 关键安全注意事项 #

• 传输加密：Botkit服务和Spark、JIRA之间必须用HTTPS通信，防止凭证在传输过程中被窃听。
• 权限控制：在JIRA中给LDAP用户配置最小必要权限（比如仅允许创建、查看自己的问题），避免Bot被滥用获取过高权限。
• 错误反馈：如果JIRA返回401认证失败，要及时提示用户重新输入凭证，避免无效重试。

可选优化：用JIRA OAuth替代凭证传递 #

如果你的JIRA支持OAuth 2.0，推荐用授权码流程让用户登录JIRA，不需要直接输入LDAP凭证：

1. Bot引导用户访问JIRA的授权页面
2. 用户登录后，JIRA返回授权码
3. Bot用授权码换取访问令牌，后续用令牌调用JIRA API
   这种方式不用存储用户凭证，安全性更高，适合长期使用的场景。

内容的提问来源于stack exchange，提问作者Chandan Gupta