# @bpinternal/signature-verification 中文文档

规范地址：https://npmcn.com/package/%40bpinternal/signature-verification/

版本：0\.2\.0
npm 元数据更新时间：2026-09-02T19:11:34.227Z
中文译文更新时间：2026-11-08T13:14:44.297Z
软件包许可：0BSD

本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/%40bpinternal/signature-verification
原文对照：https://npmcn.com/package/%40bpinternal/signature-verification/?lang=original
项目主页：https://github.com/botpress/packages#readme
源码仓库：https://github.com/botpress/packages

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：55 kB，9 个文件
- 模块格式：ESM + CJS
- TypeScript 类型：包内自带
- Node.js 要求：\>=19\.0\.0
- 运行依赖：0 个
- 首次发布：2026-02-04T16:45:19.658Z
- 最新版本发布：2026-02-05T15:32:25.715Z
- 近 30 天下载量：10610（2026-10-09 至 2026-11-07，npm 官方下载统计）
- 已发布版本数：3（近 12 个月 3 个）

## 中文简介

用于验证收到的webhook请求签名的图书馆

## 安装

```sh
npm install @bpinternal/signature-verification
```

也可以使用：`pnpm add @bpinternal/signature-verification`、`yarn add @bpinternal/signature-verification`、`bun add @bpinternal/signature-verification`

## README

# Botpress Webhook 认证库

用于验证 Botpress Webhook 签名的 TypeScript 库 。 这只应用于自发的集成和bots,因为Botpress Cloud自动处理签名验证.

## 免责声明

> \[大 此软件包将在 `@bpinternal` 并主要供本组织内部使用 [瓶装](https://github.com/botpress/botpress) 团队。 因此,它可能具有不稳定的API,在不通知的情况下打破更改,以及有限的文件或支持. 这么说,我们公开了,因为我们爱开源! 请随意使用或用叉子,但我们建议使用特定版本.
> 
> \- Botpress工程队

## 特征

-   **HMAC-SHA256 签字核查**: 根据共享机密验证签名
-   **时间戳验证**: 在±5分钟时间窗口外拒绝请求
-   **秘密旋转**: 支持零下限旋转的多密
-   **资源管理**: 使用自动清理 `Disposable` 接口

## 安装

```bash
npm install --save @bpinternal/signature-verification
```

## 快速启动

```typescript
import { createSignatureVerifier } from '@bpinternal/signature-verification'

// Create a verifier with your shared secret:
using verifier = createSignatureVerifier({
  sharedSecrets: [process.env.WEBHOOK_SECRET],
})

// Verify a webhook request:
const isValid = await verifier.verify({
  headers: req.headers,
  rawBody: req.rawBody,
  method: req.method,
})

if (!isValid) {
  throw new Error('Invalid signature')
}

// Else, process the webhook...
```

## 使用量

### 秘密旋转( 零下时段)

支持多个机密, 以便逐步旋转 :

```typescript
using verifier = createSignatureVerifier({
  sharedSecrets: [
    process.env.OLD_SECRET, // Still accepting old signatures
    process.env.NEW_SECRET, // Now also accepting new signatures
  ],
})
```

在找到匹配之前 秘密会按顺序审判.

### 快速中件示例

```typescript
import express from 'express'
import { createSignatureVerifier } from '@bpinternal/signature-verification'

const app = express()

// IMPORTANT: Capture raw body before parsing
app.use(
  express.json({
    verify: (req, res, buf) => {
      req.rawBody = buf.toString('utf8')
    },
  })
)

using requestVerifier = createSignatureVerifier({
  sharedSecrets: [process.env.WEBHOOK_SECRET],
})

// Create a reusable middleware:
const verifySignature = async (req, res, next) => {
  const isValid = await requestVerifier.verify({
    headers: req.headers,
    rawBody: req.rawBody,
    method: req.method,
  })

  if (!isValid) {
    return res.status(401).json({ error: 'Invalid signature' })
  }

  next()
}

// Use the middleware in your routes:
app.post('/webhook', verifySignature, (req, res) => {
  // Process webhook...
  res.status(200).json({ message: 'Webhook received' })
})
```

## 常见问题

### @bpinternal/signature-verification 是什么？

用于验证收到的webhook请求签名的图书馆

### 如何安装 @bpinternal/signature-verification？

在项目目录运行 npm install @bpinternal/signature-verification，或使用 pnpm add / yarn add / bun add。

### @bpinternal/signature-verification 支持 TypeScript 吗？

支持。包内自带 TypeScript 类型声明（package\.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。

### @bpinternal/signature-verification 支持 ESM 还是 CommonJS？

同时提供 ES Module 与 CommonJS 入口，import 和 require\(\) 都可以使用，打包工具会自动选择合适的版本。

### @bpinternal/signature-verification 需要什么版本的 Node\.js？

package\.json 的 engines 字段要求 Node\.js \>=19\.0\.0。版本不符时 npm 默认只给出警告，开启 engine-strict 后会拒绝安装。

### @bpinternal/signature-verification 可以商用吗？

@bpinternal/signature-verification 使用 0BSD 许可。几乎没有限制：可自由使用、修改和分发，连保留版权声明也不要求。以上为概括，不构成法律意见，请以许可原文为准。

### @bpinternal/signature-verification 的下载量有多少？

根据 npm 官方下载统计，@bpinternal/signature-verification 在 2026/10/09 – 2026/11/07 这 30 天内被下载 10,610 次，日均约 354 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。

### @bpinternal/signature-verification 还在维护吗？

最新版本 0\.2\.0 发布于 2026/02/05（9 个月前）；至今共发布 3 个版本，其中过去 12 个月发布了 3 个；首次发布于 2026/02/05。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。