| 签名 | HMAC 签名加时间戳，接收方校验防伪造重放 |
|---|---|
| 重试 | 指数退避重试若干次，接收方按事件 ID 去重 |
| 订阅 | 订阅端点验证、停用与审计 |
签名校验示意（伪代码）
签名校验示意（伪代码）
sign = HMAC_SHA256(secret, timestamp + '.' + body)
if now - timestamp > 300s: reject // 防重放窗口
if not verify(sign, header.signature): reject
if eventId in processed(): return 200 // 幂等去重回调不可靠是常态：投递语义（至少一次）要写进文档，并要求接收方实现幂等。