Webhook 调试器：接住回调，逐条看清报文 - 接住回调，看清每条报文

凌晨一点，Stripe 的支付回调又没触发。本地没有公网 IP，自己拿 curl 拼的报文验签死活不过——后来对着真实回调一比对，差的是一个 Stripe-Signature 头，一个下午就耗在这。这工具就是把「先接住真实回调」这一步做成点一下的事。

先说结论

• 临时回调地址：点一下就生成，600 秒内有效，填进 GitHub、Stripe 的 webhook 设置就能收真实请求。
• 报文全留下：方法、来源 IP、请求头、正文按时间倒序排列，JSON 自动缩进，约 2 秒拉取一次。
• 复制为 cURL：任何一条都能还原成可执行命令，回终端重放，不用猜平台发了什么。
• 用完即走：地址 10 分钟到期自动清，最多存 50 条，不用登录。

一、先接住，再谈联调

Webhook 联调最大的信息差，是你看不见对面真正发了什么。文档写的 header 名和实际发的对不上、事件体悄悄多套一层、重试间隔没人告诉你——这些只有真实报文能回答。

我踩过这个坑：本地验签死活不过，查到半夜才发现平台发的是 x-signature，文档写的却是 X-Signature。把真实回调原样接住，联调就从猜题变成填空。

我不建议拿自己拼的报文调真接口——拼的报文永远「对」，错的恰是你没想到的那个字段。

二、三步用起来

点「生成回调地址」，拿到一个带独立 token 的临时 URL。把它填进 GitHub 仓库的 Webhooks、Stripe 的 Endpoints，或者任何能配回调的系统，等事件触发。

页面每约 2 秒拉一次，新请求插到最上面并高亮一下。点开请求头看白名单字段和全部 X- 头，JSON 正文自动格式化。

对完报文点「复制为 cURL」，贴回终端立刻重放这条请求。改个参数再发，不用等平台下一次触发。

三、边界与安全，说清楚

每个地址 600 秒有效，到期服务器连同记录一起清掉，中途可以点续期再延 600 秒。每个地址最多留 50 条请求，单条正文最大 256KB，超出截断并标记。

回调的内容会由服务器临时保存约 10 分钟，到期自动清除，请勿发送真实密钥或敏感数据。本机只存 token 和未读计数，想删干净点页脚「清空我的数据」。

我的用法是：调试期绝不把生产密钥配进 webhook。签名对不上，先用这里的原始报文把逻辑对通，再换真密钥上线。

常见疑问

回调地址能用多久？

每个地址生成后 600 秒（10 分钟）有效，到期后服务器连同已捕获的请求一起清掉。调试中途点「续期」可以再延长 600 秒；刷新页面不续期，剩余时间在页面顶部随时能看到。

我发的内容安全吗？

回调的内容会由服务器临时保存约 10 分钟，到期自动清除，请勿发送真实密钥或敏感数据。本机只存 token 和未读计数（localStorage），想删掉点页脚「清空我的数据」，会先二次确认。

一条回调能看到哪些信息？

HTTP 方法、时间、来源 IP、URL query、请求头（常见字段加全部 X- 头，单值最长 4KB）和请求正文（最长 256KB，超长截断并标记）。任何一条都能一键复制成 cURL，回本地复现。

新回调要等多久才能看到？

约 2 秒。页面每隔约 2 秒向服务器拉一次，没有用长连接方案，服务器端只是极简的落盘暂存。页面切到后台会暂停轮询，回到前台立刻拉一次。

English version: https://www.9314.cn/tools/webhook-debugger/en/