【发布时间】：2020-09-07 09:27:35
【问题描述】：
我正在为我正在处理的项目设置 slack 警报。
要使用 slack 的 Incoming web hook，您所要做的就是向 slack url 发出 POST 请求。我看不到任何安全措施。这如何安全？如果他掌握了这个 url，那么即使在 https 连接中该 url 也是公开的，是否有人能够发布消息？
【问题讨论】：
标签： security webhooks slack slack-api
【发布时间】：2020-09-07 09:27:35
【问题描述】：
您链接的文档说：
保密，确保安全。您的 webhook URL 包含一个秘密。不要在线共享它，包括通过公共版本控制存储库。 Slack 积极搜索并撤销泄露的机密。
也就是说，您应该将 webhook URL 与您应用中的任何秘密（数据库密码，...）一样保密。
【讨论】：
-
好的，有道理..虽然存在通过公共互联网路由秘密（网址）的问题。就像您的密码是 url 路径参数的一部分..您对此有何看法？
-
在路径或查询参数中放置秘密的主要问题是它们往往会停留在访问日志中。除此之外，我的想法是“HTTPS”。公共互联网上的任何路由器或代理都无法在未经同意的情况下破译 TLS 会话。