#安全

Rovela 在每个 Webhook 投递上带 HMAC-SHA256 签名（x-resend-signature: t=...,v1=...）。本文逐步演示验证方法，重点讲清三个容易漏掉的坑：rawBody 必须是原始字节、时间戳防重放、恒定时间比较。

token 生成、哈希存储、过期策略、防滥用和单次使用的完整安全实现。

邮件验证码实现中的常见安全漏洞：验证码强度、过期时间、速率限制、常数时间比较、用户枚举防护，以及日志规范。