webhook 配置实战：4 种触发校验与 5 个高频坑排查手册-云帆数科

webhook 配置实战4 种触发校验与 5 个高频坑排查手册【免费下载链接】webhookwebhook is a lightweight incoming webhook server to run shell commands项目地址: https://gitcode.com/gh_mirrors/we/webhookwebhook 是一个轻量的入站 Webhook 服务器把外部平台的事件变成对本地 shell 命令的调用。做 Webhook 配置时最常见的失败不是脚本写错而是触发校验没过、取不到 payload 里的值、命令拿不到参数。这篇文章按先跑通、再校验、再取值、最后查坑的顺序给出可直接照抄的hooks.json片段和一份排查清单全部基于 docs/Hook-Rules.md 与 docs/Hook-Definition.md 的真实字段。1. 先把一个最小 hook 跑通一个合法的 hook 只需要id和execute-command两个字段其余都是可选。新建hooks.json[ { id: redeploy-webhook, execute-command: /var/scripts/redeploy.sh, command-working-directory: /var/webhook } ]command-working-directory指定脚本执行时的工作目录脚本里用相对路径就不会跑偏。启动并拿到端点/path/to/webhook -hooks hooks.json -verbose默认监听 9000 端口端点是http://yourserver:9000/hooks/redeploy-webhook前缀由-urlprefix控制默认就是hooks。⚠️ 注意此时任何知道这个 URL 的人都能触发你的命令。下面一节就是解决谁能触发。2. 触发校验5 种 match 方式对号入座trigger-rule用来限定请求满足什么条件才执行命令。它由match规则组成可用and/or/not组合层级不限。先按场景选对 match 类型match 类型校验什么取值来源典型场景value精确等于某个值header / payload / urltoken、分支过滤regex命中一条正则同上一批分支、一批仓库payload-hmac-sha1/256/512对原始 body 算 HMAC 比对签名头GitHub、Gogsip-whitelist客户端 IP 落在 CIDR 内—内网受信网段scalr-signatureScalr 专用签名时间校验请求头Scalr 事件一个容易踩的点match里的数字、布尔值必须用引号包起来value: 42而不是value: 42。GitHub签名只认 master 分支trigger-rule: { and: [ { match: { type: payload-hmac-sha256, secret: mysecret, parameter: { source: header, name: X-Hub-Signature } } }, { match: { type: value, value: refs/heads/master, parameter: { source: payload, name: ref } } } ] }两条规则用and连接必须同时成立HMAC 证明请求确实来自 GitHub 且 body 没被改value再把分支过滤到 master。签名头里的sha256前缀 webhook 会自动剥掉再比对不用你处理。GitLab / Slack用 token 精确匹配trigger-rule: { match: { type: value, value: YOUR-GENERATED-TOKEN, parameter: { source: header, name: X-Gitlab-Token } } }GitLab 走请求头X-Gitlab-TokenSlack 斜杠命令走 payload 里的token字段类型都是value只是parameter的来源不同。这类共享密钥校验最简单适合内部工具公网暴露的端点建议再加一层ip-whitelist。3. 签名校验失败的排查顺序payload-hmac-*报错时问题几乎从不在你的脚本。按这个顺序查基本能定位密钥是否完全一致两边 secret 是不是同一串字符结尾有没有多余空格或换行。这是最高频原因。签名放在哪个头GitHub 用X-Hub-Signature确认parameter.name没拼错。body 是否被中途改动反向代理或网关重新序列化 JSON 会让原始字节变化签名立刻失效。HMAC 校验的是原始字节不是重新编码后的 body。算法是否选错sha1 和 sha256 是不同算法签名头前缀也不同别拿 sha256 的签名去配payload-hmac-sha1。加-verbose或-debug能看到实际的签名错误信息。快速确认 body 时可配一个只回显原始 payload 的 hookexecute-command用/bin/echo配一个source: entire-payload的pass-arguments-to-command日志里就能看清进来的到底是什么。4. 把请求里的值取出来喂给命令从请求里取值靠{ source: ..., name: ... }。先认清来源source从哪取name 写什么header请求头Header-Nameurlquery 参数parameter-namepayloadJSON / form body点号路径a.b.crequest请求本身method/remote-addrstring静态值直接当字符串entire-payload整个 body留空作为命令行参数pass-arguments-to-command: [ { source: payload, name: head_commit.id }, { source: payload, name: pusher.name } ]按顺序追加到命令后面点号路径用来取嵌套字段。作为环境变量pass-environment-to-command: [ { source: payload, name: ref, envname: DEPLOY_REF } ]envname指定环境变量名不写的话默认是HOOK_name。当文件传大二进制pass-file-to-command: [ { source: payload, name: binary, envname: FILE_DATA, base64decode: true } ]base64decode为 true 时先把 base64 解码再落盘脚本从$FILE_DATA拿到临时文件路径进程退出后文件自动清理。数组 payload 要加 root. 前缀payload 是 JSON 数组时webhook 会把它包进一个root对象引用要加前缀。取数组第二个元素的event{ source: payload, name: root.1.event }5. 上生产前最后检查这几项失败要有信号配trigger-rule-mismatch-http-response-code返回 4xx监控才能把被拒和成功区分开。便于调试include-command-output-in-response为 true 时会等命令跑完并把输出作为响应返回排障很方便。降权运行用-setuid/-setgid在打开端口后降权或整体用非特权用户跑脚本保持最小权限。热更新-hotreload监听配置文件变化自动重载不想要常驻监听就发kill -HUP pid或-USR1触发重载无需重启。密钥别写死用-template把 hooks 文件当 Go 模板渲染secret 从环境变量注入避免明文进配置。配置能否用最终看两件事触发校验够不够严、取值路径写没写对。先按第 1、2 节跑通一个受签名保护的 hook再用第 3、4 节对着你的真实 payload 逐字段核对就能把大部分线上问题挡在部署之前。【免费下载链接】webhookwebhook is a lightweight incoming webhook server to run shell commands项目地址: https://gitcode.com/gh_mirrors/we/webhook创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

企业数字化 ERP 产品动态

相关推荐

dsh-our-free-model 免费免 Key 模型插件：鉴权链路、端口隔离与凭据轮换逐项拆解

dsh-our-free-model 免费免 Key 模型插件：鉴权链路、端口隔离与凭据轮换逐项拆解【免费下载链接】dsh-our-free-model 在 dsh 里装上这个插件即可，无需登录、注册或填 API Key，就能使用包括 DeepSeek V4.1 Flash、Kimi K3 在内的前沿模型——… · 2026/11/4 1:12:51

KoboldCpp 本地部署实操教程：从单文件启动到 GPU 加速

KoboldCpp 本地部署实操教程：从单文件启动到 GPU 加速【免费下载链接】koboldcpp KoboldCpp - Run GGUF AI models locally with a KoboldAI UI. One File. Zero Install. 项目地址: https://gitcode.com/gh_mirrors/ko/koboldcpp 在自己的电脑上跑大模型&a… · 2026/11/4 1:12:51

EeveeSpotify：越狱iPhone上3步激活Spotify Premium，实际能做到什么程度

EeveeSpotify：越狱iPhone上3步激活Spotify Premium，实际能做到什么程度【免费下载链接】EeveeSpotify A tweak to get Spotify Premium for free, just like Spotilife 项目地址: https://gitcode.com/GitHub_Trending/ee/EeveeSpotify EeveeSpo… · 2026/11/4 1:12:51

spring 中获取 applicationContext

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/4 1:50:00

对应点齐了，相机位姿还是不对？用 Kornia 把 PnP 算对的最小路径

对应点齐了，相机位姿还是不对？用 Kornia 把 PnP 算对的最小路径【免费下载链接】kornia 🐍 空间人工智能的几何计算机视觉库项目地址: https://gitcode.com/kornia/kornia 3D 重建对不上、相机放偏了——你有 2D-3D 对应&#xff0c… · 2026/11/4 1:48:00

Wan2.2-TI2V-5B 本地部署指南：单张 4090，9 分钟出 5 秒 720P 视频

Wan2.2-TI2V-5B 本地部署指南：单张 4090，9 分钟出 5 秒 720P 视频【免费下载链接】Wan2.2-TI2V-5B Wan2.2-TI2V-5B是一款开源的先进视频生成模型，基于创新的混合专家架构（MoE）设计，显著提升了视频生成的质… · 2026/11/4 1:48:00

没 iPhone 也能玩：DiPlay 热点模式白嫖 CarPlay

没 iPhone 也能玩：DiPlay 热点模式白嫖 CarPlay 【免费下载链接】DiPlay Independent CarPlay receiver for compatible Android head units. Wired and wireless public preview. 项目地址: https://gitcode.com/gh_mirrors/di/DiPlay 先说个扎心的帖子车… · 2026/11/4 1:47:00