HMAC 签名
在浏览器本地生成并比对 Webhook 签名。
这里只校验密钥、输入和签名是否匹配；发送方身份、重放保护和服务端验收需另行检查。
期望签名或 Header 值（可选） · 收到的签名 Header
Hex · Base64
脱敏调试报告
HMAC 调试边界
原始 body
Stripe、Slack、Paddle、Razorpay 等流程通常必须用 JSON/body parser 运行前捕获的 raw body；重新序列化、空白或换行变化都会改变签名。
时间戳与重放
时间戳提示只按本浏览器时钟估算，不能证明服务端时钟、重放窗口或 provider 接受状态正确。
脱敏报告
报告默认省略 raw secret、raw payload、签名 header 文本、完整签名和完整 message id，适合交接排障事实。
服务端验证
生产验证应在服务端保管 secret，使用官方库或常量时间比较，并单独处理幂等、时间窗口和错误日志。