403错误通常因客户端ip未被列入服务端白名单所致，需依次检查qoderwake connector白名单、nginx反向代理allow规则、iptables cloudflare ip限制、本地配置调试日志及阿里云slb/waf白名单策略。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在调用QoderWake服务时收到错误代码403，提示“访问被拒绝”，这通常表明请求已抵达服务器但被主动拦截，常见原因为客户端IP未被列入服务端白名单。以下是针对该问题的多种IP白名单配置方法：
一、检查并配置QoderWake Connector白名单
QoderWake通过Connector接入外部系统（如GitHub、Slack、Notion）时，所有跨域调用均强制校验Referer或Origin头，同时网关可能依据来源IP实施访问控制。若调用方IP未注册至白名单，将直接返回403。
1、登录QoderWake控制台，进入「Connector中心」。
2、选择已启用的目标Connector（例如GitHub Connector）。
3、点击「网络策略」或「安全设置」标签页，查找「IP白名单」配置区域。
4、在输入框中添加当前发起请求的公网IP地址，支持单IP（如203.0.113.45）或CIDR格式（如203.0.113.0/24）。
5、保存配置后，等待30秒策略同步完成，重新触发调用验证是否生效。
二、在Nginx反向代理层配置allow规则
若QoderWake部署于自建服务器且前端使用Nginx作为反向代理，可通过修改Nginx配置文件，在server或location块中显式放行可信IP段，从而绕过网关级403拦截。
1、使用sudo权限打开Nginx配置文件，路径通常为/etc/nginx/sites-enabled/qoderwake.conf或/etc/nginx/nginx.conf。
2、定位到对应server块内的location /api/段落。
3、在该location内插入以下指令：
allow 203.0.113.45;
allow 203.0.113.0/24;
deny all;
4、执行sudo nginx -t验证语法正确性。
5、执行sudo systemctl reload nginx重载配置。
三、通过iptables限制入站流量仅来自Cloudflare IP范围
当QoderWake服务部署在云主机且需强制所有外部请求经由Cloudflare中转时，可使用iptables丢弃非Cloudflare源IP的HTTP/HTTPS请求，此操作将导致直连IP返回403，确保安全边界。
1、下载最新Cloudflare IP列表：curl https://www.cloudflare.com/ips-v4 -o /tmp/cf-ips-v4.txt。
2、逐行读取IP段并添加iptables规则：
while read ip; do sudo iptables -A INPUT -p tcp --dport 443 -s $ip -j ACCEPT; done
3、追加默认拒绝规则：sudo iptables -A INPUT -p tcp --dport 443 -j DROP。
4、保存规则：sudo iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或使用service iptables save（CentOS）。
四、修改QoderWake本地配置文件启用调试模式并查看拒绝日志
启用详细请求日志可确认403触发的具体环节（如是否在网关层、Connector层或后端服务层被拦截），进而判断是否需调整IP白名单位置。
1、定位QoderWake配置目录，通常为/opt/qoderwake/conf/或~/.qoder/config.yaml。
2、编辑config.yaml文件，在logging节点下设置level: DEBUG。
3、在security节点中确认enable_ip_whitelist: true是否启用。
4、重启QoderWake服务：sudo systemctl restart qoderwake。
5、实时查看日志：sudo journalctl -u qoderwake -f | grep "rejected from IP"。
五、在阿里云SLB或WAF控制台添加源站IP白名单
若QoderWake服务前端挂载了阿里云负载均衡（SLB）或Web应用防火墙（WAF），其内置的IP黑白名单功能会优先于应用层拦截请求，需在云平台侧完成白名单配置。
1、登录阿里云控制台，进入「负载均衡SLB」或「Web应用防火墙」产品页面。
2、选择对应实例，进入「访问控制」或「防护策略」模块。
3、创建新的IP白名单策略，填写策略名称（如qoder-external-call）。
4、在IP地址栏粘贴当前调用方出口IP，支持多IP换行输入。
5、将该策略绑定至监听端口（如443端口的HTTPS监听）或域名维度策略组。
6、点击「启用」并观察后续调用是否返回200响应。
