签名校验老是失败，可能是你把请求体改过了！IP 白名单放行就等于安全？GitHub 悄悄加了三段地址，一堆人把校验搞反了

大白话GitHub 在 10 月 29 日宣布给 Webhook 投递加了新的 IP 地址段，用固定白名单的团队得手动补上，靠 Meta API 自动刷新的则不用改。Dev.to 上有作者借这事讲了个常被搞混的问题：防火墙放行只决定「请求能不能进来」，签名校验才决定「这条消息是不是真的 GitHub 发的」，业务逻辑再决定「这个仓库的这个事件该不该触发动作」。三步各管各的，第一步过了不代表后两步过了。

对你意味着如果你在写接 GitHub Webhook 的服务，或者让 AI 帮你生成过这类代码，值得回头查一下：签名校验是不是拿到了原始字节、有没有被中间件改过。