#开发者

Rovela 在每个 Webhook 投递上带 HMAC-SHA256 签名（x-resend-signature: t=...,v1=...）。本文逐步演示验证方法，重点讲清三个容易漏掉的坑：rawBody 必须是原始字节、时间戳防重放、恒定时间比较。

Rovela 的 scheduled_at 字段让邮件在指定时间才投递，并支持改时间和取消。本文演示排期、改时间、取消的完整流程，以及按用户时区计算发送时间的实战写法。

网络超时重试最容易让用户收到两封邮件。Rovela 的幂等键在 24 小时内保证同一个键只发一封，本文讲清规则、键的取法和退避重试模式。

Rovela 批量接口、游标分页处理大列表、指数退避、发送时机和进度跟踪。

Rovela 附件 API、大小限制、大文件改用链接的方案、安全注意事项和 Content-Type 设置。

退信类型的区别、Webhook 接收退信通知、退信率阈值和预防措施。

邮件 HTML 的特殊限制、表格布局、内联样式、React Email/MJML 和测试工具。

用事件驱动架构解耦邮件发送逻辑，包括签名验证、幂等性和 Rovela Automations。

token 生成、哈希存储、过期策略、防滥用和单次使用的完整安全实现。

邮件验证码实现中的常见安全漏洞：验证码强度、过期时间、速率限制、常数时间比较、用户枚举防护，以及日志规范。

用 SMTP 或事务邮件 API 发邮件验证码的完整实现，包括密码学安全的随机数生成、Redis 存储校验、速率限制代码示例。