Intercom Webhook认证应使用哪个Client Secret？

• 结论：你需要使用自己发布在Intercom应用商店的应用的Client Secret，而非客户Intercom工作区的Client Secret。
• 原因：
  • 这个Webhook签名机制的核心是让你的系统验证收到的请求确实来自Intercom官方，防止伪造请求。
  • 你发布的应用的Client Secret是Intercom专门为你的应用分配的唯一验证密钥，当客户安装你的应用后，Intercom会用这个密钥来生成Webhook请求的签名，你的系统用它就能完成合法性校验。
  • 客户工作区的Client Secret属于他们自己的内部应用或集成，和你方应用与Intercom的交互逻辑无关，用它无法完成正确的签名验证。

内容的提问来源于stack exchange，提问作者Suresh