Per-Trigger Signature 검증 기반의 범용 Webhook 수집 아키텍처

Context

제공자마다 상이한 Signature 포맷과 헤더 구조로 인한 통합 수집의 어려움 존재. 글로벌 설정 방식으로는 다양한 Provider의 개별 검증 규칙을 수용하기 어려운 구조적 한계 발생.

Technical Solution

• Trigger 단위의 개별 Signature 설정 도입을 통한 Provider별 독립적 검증 규칙 적용
• Regex 기반의 Signature Extraction 방식을 통한 sha256= 등 다양한 접두사 제거 및 순수 Digest 추출
• Schemaless Collection 채택으로 Push, Issue 등 서로 다른 Event Payload 구조를 유연하게 수용
• 핵심 필드(eventType, sender, repo)의 Top-level Flattening을 통한 쿼리 성능 및 필터링 효율 최적화
• Delivery ID 추적 및 중복 제거 메커니즘을 통한 Replay Attack 방어 및 Idempotency 확보
• HMAC-SHA256 알고리즘 기반의 Payload 무결성 검증 프로세스 구축