API Gateway 上的 API 密钥与斜杠命令一起使用

Question

我正在创建一个新的 Slack 应用程序，它基本上接受斜杠命令。它已经可以工作了，但我想使用 API 密钥来保护我的 API。已经配置了 API 密钥 + 使用计划，但不确定如何在 slack 端使用它。

我基本上需要发送一个x-api-key标头，但这似乎从 Slack 方面不可能？

拥有一个仅依赖于 slack 验证令牌的开放 API 似乎非常危险，具体取决于您的命令......

有没有办法做到这一点，或者就是这样？仅使用令牌和团队 ID 进行验证。

Answer 1

不可能像x-api-key您建议的那样向来自 Slack 的请求添加自定义标头。

保护 API 安全的标准方法是使用“签名机密”，而不是验证令牌。验证令牌是一项较旧的安全功能，仍然有效，但安全性较低，因此不再推荐。

签名机密将使用标准 HMAC-SHA256 密钥散列生成的密钥对来自 Slack 的每个请求进行加密签名。您可以在应用程序配置页面上找到该密钥。

查看此文档以了解有关如何使用签名机密的更多详细信息。