Webhook 验签接入说明

1. 功能说明

VM 向商户回调地址发送 Webhook 时，会使用 VM 私钥对原始 HTTP 请求体进行 RSA-SHA256 签名。商户收到 Webhook 后，应使用 VM 提供的公钥验证签名，以确认：

消息由 VM 签发；

请求体在传输过程中未被修改。

签名计算规则：

signature = Base64(
    RSA_PKCS1_V1_5_SIGN(
        SHA256(raw_http_body),
        VM_private_key
    )
)

HTTP Header 名称不区分大小写，因此以下名称等价：

X-VM-SIGN
X-Vm-Sign
x-vm-sign

HTTP/2 或部分 Web 框架可能自动将 Header 名称转换为小写，这是正常行为。

获取原始 HTTP Body。

获取 X-VM-SIGN 请求头。

对签名值进行 Base64 解码。

使用 VM Webhook 验签公钥执行 RSA-SHA256 验签。

验签成功后，再解析 JSON 并处理业务。

验签失败时拒绝处理该消息。

必须使用原始 Body 验签，禁止先解析 JSON 再重新序列化。空格、换行、字段顺序和转义方式发生变化都会导致验签失败。

商户验签时必须使用 VM 提供的 Webhook 验签公钥：

-----BEGIN PUBLIC KEY-----
...
-----END PUBLIC KEY-----

注意：

不得使用商户自己的公钥验签。

不得使用商户调用 VM API 时配置的 API 公钥验签。

VM 私钥不会提供给商户。

Sandbox 与 Production 公钥应分别获取，不得默认共用。

建议通过受控渠道获取公钥及其 SHA-256 指纹。