Webhook 可靠性与重放

Webhook 是外部系统给你的事实通知，可靠性要自己兜底。

验签只是第一步

签名有效只证明消息来自供应商，还要校验商户号、应用 id、金额与币种是否和本地订单一致。

幂等

供应商会重复推送，必须用事件 id 或订单号做幂等键。处理成功后再返回 200，处理失败返回非 2xx 触发重试。

顺序问题

同一订单的事件可能乱序到达，用状态机加 guard 拒绝倒退迁移，例如已退款不能被改回已支付。

对账

每天跑一次订单对账，找出本地有、供应商无，或相反的记录。这是发现漏单的最后一道防线。