HMAC-SHA256
基于SHA-256哈希函数和密钥的消息认证码，用于验证消息完整性和真实性，提供对抗篡改的能力
核心事实
时间轴 (近 90 天)
HMAC-SHA256是一种基于SHA-256哈希函数和密钥的消息认证码，用于验证消息的完整性和真实性；其防篡改能力依赖密钥管理，密钥泄露则防篡改属性失效。
一份最小审计回执应包含receipt_id、subject_id、task、created_at、token预算（max_tokens/used_tokens）、included数组（含memory_id、kind、来源episode、token数与排名）、excluded数组（含剔除原因如policy:deny:pii或budget）以及integrity字段（HMAC-SHA256摘要）。
GitHub 的 Webhook 使用 X-Hub-Signature-256 请求头，并采用 HMAC-SHA256 算法对请求体计算签名。
Stripe使用Stripe-Signature头对请求体和时间戳做HMAC-SHA256校验来验证webhook请求来源。
Webhook 签名验证通常使用 HMAC-SHA256 算法，签名覆盖时间戳与请求体内容，接收方用共享密钥本地重算签名并比对。
Stripe使用HMAC-SHA256对webhook请求的原始字节（raw body）计算签名，并通过Stripe-Signature头传递，用request.json()解析会因重新序列化导致签名校验失败。
Meta使用X-Hub-Signature-256对原始body进行HMAC-SHA256签名校验来验证webhook消息的真实性。
Stripe 的签名算法对接收到的确切原始字节计算 HMAC-SHA256，服务端必须用完全相同的字节重算签名才能比对成功。
全部知识事实 (9)
Webhook 签名验证通常使用 HMAC-SHA256 算法，签名覆盖时间戳与请求体内容，接收方用共享密钥本地重算签名并比对。
65%待验证APP请求中的sign参数是服务端验证请求合法性的核心机制，通常使用HMAC-SHA256、MD5或自定义算法计算哈希值
60%待验证HMAC-SHA256是一种基于SHA-256哈希函数和密钥的消息认证码，用于验证消息的完整性和真实性；其防篡改能力依赖密钥管理，密钥泄露则防篡改属性失效。
50%待验证一份最小审计回执应包含receipt_id、subject_id、task、created_at、token预算（max_tokens/used_tokens）、included数组（含memory_id、kind、来源episode、token数与排名）、excluded数组（含剔除原因如policy:deny:pii或budget）以及integrity字段（HMAC-SHA256摘要）。
50%待验证GitHub 的 Webhook 使用 X-Hub-Signature-256 请求头，并采用 HMAC-SHA256 算法对请求体计算签名。
50%待验证Stripe使用Stripe-Signature头对请求体和时间戳做HMAC-SHA256校验来验证webhook请求来源。
50%待验证Stripe使用HMAC-SHA256对webhook请求的原始字节（raw body）计算签名，并通过Stripe-Signature头传递，用request.json()解析会因重新序列化导致签名校验失败。
50%待验证Meta使用X-Hub-Signature-256对原始body进行HMAC-SHA256签名校验来验证webhook消息的真实性。
50%待验证Stripe 的签名算法对接收到的确切原始字节计算 HMAC-SHA256，服务端必须用完全相同的字节重算签名才能比对成功。
50%