如何在 Slack 自定义函数中安全确定当前用户

安全地识别 Slack 自定义函数中的执行用户

使用 Node.js 和 Slack SDK 的后端方法

// Import necessary modules
const { WebClient } = require('@slack/web-api');
const express = require('express');
const app = express();
const port = 3000;
// Slack bot token
const token = process.env.SLACK_BOT_TOKEN;
const slackClient = new WebClient(token);
// Middleware to parse incoming requests
app.use(express.json());
// Endpoint to handle the Slack workflow request
app.post('/slack/function', async (req, res) => {
  try {
    const { user_id, team_id } = req.body; // Extract Slack context
    if (!user_id || !team_id) {
      return res.status(400).json({ error: 'Invalid payload' });
    }
    // Fetch user details from Slack API
    const userInfo = await slackClient.users.info({ user: user_id });
    if (userInfo.ok) {
      // Return user information securely
      return res.status(200).json({
        executing_user: userInfo.user.name,
        email: userInfo.user.profile.email
      });
    } else {
      return res.status(500).json({ error: 'Failed to fetch user info' });
    }
  } catch (error) {
    console.error(error);
    res.status(500).json({ error: 'Internal server error' });
  }
});
// Start the server
app.listen(port, () => {
  console.log(`Server is running on port ${port}`);
});

Slack 工作流程的替代前端验证

使用 JavaScript 和 Slack 工作流程步骤的前端方法

// Define a custom function for workflow validation
async function validateExecutingUser(context) {
  const user_id = context.user.id; // Securely get user ID
  const apiUrl = 'https://slack.com/api/users.info';
  const headers = {
    'Content-Type': 'application/json',
    'Authorization': `Bearer ${context.bot_token}`
  };
  try {
    const response = await fetch(apiUrl, {
      method: 'POST',
      headers: headers,
      body: JSON.stringify({ user: user_id })
    });
    const data = await response.json();
    if (data.ok) {
      console.log('User is validated:', data.user.name);
      return { user: data.user };
    } else {
      throw new Error('User validation failed');
    }
  } catch (error) {
    console.error('Error validating user:', error);
    return null;
  }
}

后端方法的单元测试

使用 Jest 进行 Node.js 单元测试

const request = require('supertest');
const app = require('./app'); < !-- Adjust as per actual file -->

describe('Slack Function Endpoint', () => {
  it('should return user information for valid request', async () => {
    const res = await request(app)
      .post('/slack/function')
      .send({ user_id: 'U123456', team_id: 'T123456' });
    expect(res.statusCode).toEqual(200);
    expect(res.body).toHaveProperty('executing_user');
  });
  it('should return 400 for invalid payload', async () => {
    const res = await request(app)
      .post('/slack/function')
      .send({});
    expect(res.statusCode).toEqual(400);
  });
});

有关 Slack 用户检索的常见问题

1. 怎么样 users.info 确保安全的用户验证？
2. 这 users.info 方法使用经过身份验证的令牌直接查询 Slack 的 API，防止篡改输入影响工作流程安全。
3. 我可以使用吗 fetch 用于后端 API 调用？
4. 是的，但建议使用专门的库（例如 Slack 的 SDK）进行后端调用，因为它们包含针对 Slack API 的优化方法和错误处理。
5. 使用有什么好处 express.json() 中间件？
6. 它解析传入的 JSON 有效负载，确保后端正确解释 Slack 的工作流程数据。
7. 如何测试用户验证过程？
8. 您可以使用 Jest 和 Supertest 等工具来模拟对 Slack 应用程序的 API 端点的有效和无效请求。
9. 是否有必要使用 Authorization 每个 API 请求中的标头？
10. 是的，包括令牌 Authorization 为了与 Slack 的 API 进行安全通信，标头是必需的。

确保 Slack 工作流程的安全执行

在开发安全的 Slack 托管功能时，识别 执行用户 确保只有授权人员才能执行敏感任务。通过集成 Slack API 和强大的验证，您的函数可以保持安全性，而不会冒冒充或数据泄露的风险。这使您的工作流程值得信赖并以用户为中心。

随着 Slack 工作流程变得越来越复杂，保持对安全性的关注可以增强其可扩展性和可靠性。通过遵循基于角色的访问控制和审核跟踪等最佳实践，您的自定义功能可以保持有效，同时满足合规性需求并保护用户数据。 🚀