Xero Webhooks与OAuth集成疑问：对接Business Central发票同步

首先明确：Xero Webhooks原生不支持OAuth配置，它仅会通过你提供的签名密钥对指定URL发起无令牌的单次POST请求，请求合法性通过请求头的签名信息验证，无需额外凭证。

要实现带OAuth的集成（对接Business Central的OAuth-protected API），必须通过中间中转服务搭建桥梁，具体方案如下：

• 搭建自定义Webhook接收服务

  • 暴露一个公网可访问的URL给Xero Webhooks，优先完成Xero请求的签名验证（用Xero提供的密钥校验请求头X-Xero-Signature），确保请求来自合法的Xero源。
  • 验证通过后，服务使用预先配置/自动刷新的Business Central OAuth令牌，调用BC的API提交支付或贷项凭证数据。

• 处理Business Central OAuth令牌生命周期

  • 提前完成Business Central的应用注册，获取客户端ID、客户端密钥、租户ID等OAuth参数。
  • 在中转服务中实现令牌自动管理逻辑：首次调用时获取初始令牌，后续每次调用前检查令牌有效期，过期则通过刷新令牌获取新的有效令牌，避免手动维护。

• 数据格式映射转换

  • 将Xero Webhook传递的事件数据（如发票支付状态变更、贷项凭证创建信息）转换为Business Central API要求的格式，重点匹配发票编号、金额、日期、客户ID等核心字段，确保数据能被BC正确识别处理。

目前不少开发者已通过这种中转方案成功实现集成，常用的中转服务包括Azure Functions、AWS Lambda或自建轻量API服务，既满足Xero Webhooks的调用规则，又能安全对接Business Central的OAuth保护接口。

内容的提问来源于stack exchange，提问作者rpuelma