#security

Rovela 在每个 Webhook 投递上带 HMAC-SHA256 签名（x-resend-signature: t=...,v1=...）。本文逐步演示验证方法，重点讲清三个容易漏掉的坑：rawBody 必须是原始字节、时间戳防重放、恒定时间比较。