Webhook
订阅使用独立 HMAC-SHA256 密钥，对 timestamp + 原始正文签名。证书 ES256 验签与此分离，不得混用。
- 请求头 X-VGO-Signature 为 HMAC-SHA256(timestamp + '.' + raw_body) 的小写十六进制。
- 时钟容忍 ±5 分钟；先持久化再应答；用 status_version 防止乱序覆盖。
- 重试保留 event_id；超过 24 小时进入死信。
示例请求头
X-VGO-Timestamp: 1727625600
X-VGO-Signature: <hmac-sha256 hex of timestamp + '.' + raw_body>验签使用原始字节正文，不得重序列化 JSON。证书 ES256 验签与此分离。