如何在Java中生成和验证Webhook签名？

在Java中生成和验证Webhook签名涉及到几个关键步骤：

1. **获取签名所需的数据**：
- `payload`：Webhook事件的原始JSON数据，不包含`signature`字段。
- `secret_key`：Webhook的密钥，通常是Base64编码的字符串。

2. **生成签名**：
使用Stripe推荐的算法（比如v2的HMAC-SHA256）来计算签名。首先需要将`payload`加上一个固定的前缀（如`application/x-www-form-urlencoded`），然后按照指定顺序排序所有键值对（键按字母顺序，值无序）。接着，将结果连接成一个字符串，并用Base64编码。最后，用你的`secret_key`对这个编码后的字符串进行 HMAC-SHA256 加密。

示例（假设你已经有了`payload`和`secret_key`）：

   String secretKey = "your_base64_encoded_secret";
   byte[] keyBytes = Base64.getDecoder().decode(secretKey);
   
   List<String> sortedParams = Arrays.asList(params.entrySet()).stream()
       .sorted(Map.Entry.comparingByKey())
       .map(entry -> entry.getKey() + "=" + entry.getValue())
       .collect(Collectors.toList());
   
   String rawPayload = "event=" + event + "&" + String.join("&", sortedParams);
   String signature = MacUtils.hmacSha256(keyBytes, rawPayload.getBytes(StandardCharsets.UTF_8)).toString();

3. **验证签名**：
将你的生成的签名与接收的`X-Stripe-Signature`头中的签名进行对比。如果两者相等，则说明请求是合法的。

   String receivedSignature = request.getHeader("X-Stripe-Signature");
   if (!signature.equals(receivedSignature)) {
       // 请求验证失败，处理异常
   }

注意，这里`MacUtils.hmacSha256`是一个假设的函数，实际项目中你需要实现或找到类似功能的库来完成HMAC计算。同时，务必确保在生产环境中处理`secret_key`的安全，避免硬编码或明文传输。