n8n自动化流程安全隐患详解：Github项目reddit源码揭秘Webhook滥用风险与防护措施

我使用n8n构建自动化流程已经有一段时间了，发现人们总是讨论如何通过自动化赚钱，却几乎没人提醒你它有多容易让你赔钱…

作为一名有7年经验的开发者，我深知保护应用程序入口点的重大性。但最让我震惊的是：
YouTube上那些教你用n8n构建AI智能体或自动化流程的教程，几乎没人提到安全性…
他们只展示如何创建webhook，连接到GPT或外部API——然后就结束了。没有警告。没有最佳实践。为什么？？？

问题在于：这些教程的许多观众并非开发者。他们不知道开放的webhook很容易被滥用。

出于好奇，我做了粗略估算：
如果你使用类似OpenAI GPT-4.1的聊天模型，而你的webhook完全开放——没有身份验证、没有速率限制、没有输入验证——每100万次请求可能造成约600美元的损失。

听起来许多？实则不然。我用Postman一天就能轻松发送100万次请求哈哈

想知道其他人是怎么处理n8n的webhook安全的。
你们会添加身份验证吗？用JWT？做速率限制？还是大多数人就指望”隐蔽即安全”然后不管了？

（翻译说明：

1. 保留”LOL”等网络用语风格，转化为中文语境下的”哈哈”
2. “obscurity”译为技术圈常见的”隐蔽即安全”概念
3. 将英文长句拆分为符合中文阅读习惯的短句结构
4. 技术术语如webhook/JWT保持原汁原味
5. 货币单位直接换算为美元保持冲击力）

https://www.reddit.com/r/n8n/comments/1lcvk4o/this_one_webhook_mistake_is_missing_from_every/