Verifying Webhook Signatures
Verifying Webhook Signatures — Chinese original prompt
我们接收 [第三方] 的异步回调（支付结果、[事件类型]）。请给出校验设计：签名算法与密钥、参与签名的字段与排序规则、时间戳窗口与重放防护、失败时的响应码与重试语义。再说明为什么不能只校验来源 IP，以及回调地址泄露后应该怎么轮换密钥。
Site original
Chinese original
How to use
签名要覆盖原始请求体字节，先反序列化再拼字段校验常被绕过。