Capability Webhook

Capability Webhook 与支付通知端点相互独立。每个端点拥有单独的 cap_whsec_ 签名密钥，创建时仅显示一次。

验签

读取 X-Capability-Webhook-Timestamp 与 X-Capability-Webhook-Signature，计算：

HMAC-SHA256(cap_whsec, timestamp + "." + rawBody)

使用常量时间比较签名，并校验时间窗口。验签必须使用未经解析、未经重新序列化的原始请求体。

投递与重放

• 非 2xx 响应按有界退避策略重试。
• 每次人工重放都会创建新的投递记录，不覆盖原始证据。
• 下游应按 eventId 幂等处理，同一事件可能被投递多次。
• 达到最大重试次数后进入死信，商户可在工作台查看错误码并申请重放。