Webhook 安全最佳实践

验证签名：对 GitHub、Stripe、Slack 等提供签名的来源，务必使用官方算法与密钥校验请求体，拒绝未通过校验的请求。

全程 HTTPS：仅将 Webhook URL 配置为 https://，避免明文传输被窃听或篡改。

保护 API Key：勿将 API Key 提交到仓库或客户端明文；使用环境变量与密钥管理服务，并定期轮换。

幂等处理：对可能重复投递的 Webhook 使用唯一事件 ID 或业务键做去重，避免重复扣款或重复执行副作用。

校验载荷：在信任签名后仍应校验 JSON 结构与必填字段，防止逻辑漏洞或异常数据导致服务异常。

遵循最小权限原则，仅向 HookNexus 与上游服务授予必要的访问范围。