运行时扩展
安装级 Webhook
验证安装级 Webhook、轮换 secret、防重放并处理重试与死信恢复。
安装级 Webhook
订阅绑定有效 installation、应用版本、tenant/store、环境和事件 allowlist。安装被撤销/暂停或法律同意失效后，停止新投递。
请求包含：
x-ayalink-event-id: <stable-id>
x-ayalink-timestamp: <unix-seconds>
x-ayalink-signature: v1=<hex-hmac-sha256>
对 <timestamp>.<raw-body> 计算 HMAC-SHA256，常量时间比较，拒绝超出时间窗的请求，再原子消费 event ID。签名通过前禁止解析 JSON。参见验签示例。
Secret 只在创建与轮换时显示一次。文档规定的过渡窗口内可验证当前/前一 key，撤销后旧 key 失败。投递日志禁止持久化签名、完整请求/响应 body、URL query secret、token 或非必要 PII。
Worker 使用租约、有界指数退避与抖动、Retry-After、dead-letter 和安全人工重放。重放只在原 installation 中创建新 delivery attempt，同时保留原 event ID，使接收方业务效果继续幂等。