参与签名的原文并不是看到的 JSON
空格、换行、字段顺序、字符编码、时间戳拼接和十六进制大小写都可能改变摘要。应先按第三方文档还原“原始字节”，再比较计算结果。
05 · 工程调试
Webhook 签名与 JSON 调试台
检查 JSON 是否有效，并用浏览器 Web Crypto 计算 HMAC-SHA256。适合排查支付回调、订单状态通知和第三方平台 Webhook。
Payload 与签名
WEB CRYPTO调试结果
LOCAL ONLY等待 JSON Payload
结果会显示格式化 JSON、签名值以及可选的签名比对结果。
使用说明 · 回调必须可验证
签名一致只是第一步，生产回调还要处理重复、乱序和失败恢复。
调试台用于确认 JSON 原文和 HMAC-SHA256 计算结果，帮助排查双方使用了不同的序列化内容、编码或签名格式。所有密钥与 Payload 都在浏览器本地处理。
先验签，再检查时间窗口与事件唯一性
服务端接收原始请求体后进行常量时间比对，校验时间戳与重放窗口，再根据事件 ID 做幂等处理。不要在验签前解析后重新序列化 JSON。
保存事件、处理状态和最后一次错误
对支付、订单等关键回调建立事件表，记录请求摘要、处理次数和业务结果。外部成功而本地失败时通过重试或补偿恢复，而不是依赖人工改数据库。
安全说明
不要把生产密钥粘贴到不受信任的网页。此页面代码在浏览器运行且不上传输入，但正式系统仍应使用密钥管理服务、密钥轮换、请求限流、审计日志和常量时间比较。
由涧序数字技术团队设计与维护 · 更新于 2026-07-27