PayPal Webhook始终无法返回VERIFIED状态问题求助

什么是Webhook Secret？ #

Webhook Secret是PayPal为每个Webhook端点生成的唯一密钥，用于确认收到的Webhook请求确实来自PayPal官方，抵御伪造请求。它是PayPal生成请求签名的核心参数，验证逻辑需借助它完成合法性校验。

获取Webhook Secret的步骤 #

• 登录PayPal开发者平台，进入目标应用的详情页
• 在左侧导航栏选择Webhooks选项
• 找到已创建的目标Webhook端点，点击进入详情页
• 在详情页中即可查看并复制Webhook Secret

你的验证代码注意事项 #

你当前已切换到Webhook标准验证流程（区别于IPN），需注意两个关键细节：

1. 你注释掉的Authorization头必须恢复，其值为Bearer {PayPal API访问令牌}——这个令牌需要用你的应用Client ID和Secret通过OAuth2接口获取，不是Webhook Secret
2. Webhook Secret的使用场景是本地签名验证：如果选择不调用PayPal的验证API，而是本地校验签名，就需要用Webhook Secret结合请求头的transmission_id、transmission_time、cert_url、auth_algo、transmission_sig字段，以及请求体，按照PayPal指定的算法完成校验

内容的提问来源于stack exchange，提问作者Robotuner