一、先排查身份验证边界，而不是付款状态
验签失败时，应用还不能信任收到的事件。Stripe 的排错指南要求检查三个输入：请求正文、Stripe-Signature 请求头及端点密钥。[1] 不要先改发货条件，而应确定哪项输入与验证器要求不符。
这一需求有真实社区提问支撑：一位 Express 开发者先配置全局 JSON 解析器，再给回调路由配置原始正文解析器；即使检查了密钥，仍然遇到验签错误。[3] 本文专门解决签名输入如何保真，不讨论通知恢复、重复履约或事件结构迁移。验签是后续业务处理的入口条件，不是业务完成证明。
二、先排除密钥和请求头不匹配
Stripe 说明，控制台端点与 Stripe CLI 转发使用的密钥都以 whsec_ 开头，但具体值不同，不能混用。[1] 先明确当前请求究竟从哪条路径到达，再检查该部署实际加载的密钥配置。前缀相同不代表密钥正确，也不能以开发环境能够通过代替生产配置核对。
检查处理程序是否读取原始 Stripe-Signature 请求头，而不是其他字段。官方展示的结构为 t=xxx,v1=yyy,v0=zzz。[1] 本文建议通过受限配置访问核对密钥，不要将明文贴进工单或普通日志；排查记录保存配置引用即可。密钥和请求头确认无误后，再进入正文解析链路。
三、在解释 JSON 之前保留原始正文
验证器需要 Stripe 发送的、未经修改的 UTF-8 正文字符串。Stripe 列出的失败原因包括空白变化、键值顺序变化、转换为 JSON，以及编码变化。[1] 因而，先解析再调用 JSON.stringify() 并不是可靠的还原方案。业务字段看起来一致，并不意味着签名覆盖的原始表示一致。
对于 Express，Stripe 明确要求将回调路由放在 app.use(express.json()) 之前。[1] 必须同时检查应用级和路由级中间件，不能只看控制器内部。较晚执行的原始正文解析器无法撤销较早的解析。其他接口仍可保留 JSON 解析；需要隔离的是回调的验签入口，而不是取消整个应用的正文处理。
四、按实际框架入口选择修复方式
不要把 Next.js 的一种路由模式示例直接套到另一种模式。对于 Pages Router，Stripe 指南建议关闭 bodyParser 并使用 buffer(request)。[1] 对于 App Router，官方示例将 await req.text()、签名请求头和配置中的密钥传入 constructEvent()，并在验签失败时返回 400。[2] 应先确认代码使用的请求接口，再选择对应读取方式。
在 Stripe 展示的 AWS API Gateway 映射方案中，模板单独保留 rawBody 并传递请求头，Lambda 再读取这些字段。[1] 复制模板之前应核对自己的集成模式。该示例不能证明所有网关事件结构相同，也不能证明已经解析的 body 字段可以直接用于验签。
五、假设案例：一次看似无害的中间件调整
假设团队将共用 JSON 中间件移动到回调路由之前：普通接口仍正常，回调却开始验签失败。这是用于说明排查方法的假设案例，不是本文观察到的部署事故。相关机制来自官方文档：Express 可能在验签之前解析正文。[1]
建议先比较变更前后的中间件注册顺序，确认端点密钥没有改变，再恢复回调的原始输入边界。如果仍失败，应继续追踪网关映射与请求头提取，而不是反复调整控制器中的相同行代码。尤其不能根据解析后的对象在本地重新生成签名并替换收到的签名；这样即使验证通过，也没有认证原始传入请求。修复目标是保留并验证真实输入，而不是让错误消失。
六、用可观察的结果关闭排查
- 记录实际投递路径、部署路由、框架请求接口和密钥配置引用。
- 确认验证器在 JSON 解析之前获得原始正文和原始签名请求头。
- 让真实沙盒事件经过部署后的完整中间件与网关路径。
- 在隔离的反向测试中修改正文但保留原签名，要求在业务处理前拒绝。
- 确认缺失或错误的签名输入无法进入业务处理。
- 调整中间件顺序后，复查普通 JSON 接口。
以上是建议执行的验收项目，不是已经通过的测试结果。关闭问题需要实际观察到验签成功和拒绝结果，而不是只看到正文可以解析。资料于 2026 年 9 月 23 日读取；未标注的文档日期仍记为未知。本文未测试真实账户；这些 Stripe 专属说明不代表 PayIn 的接口行为，也不能证明任何地区的产品资格。
来源与日期
技术行为以官方文档为依据；社区提问只说明定性需求。于2026-09-23读取核验，检索日期不等于原文发布日期；未注明的日期仍视为未知。本文为文档研究，不是实际账户测试，不代表 PayIn 产品功能，也不是法律、税务或财务意见。账户资格与地区可用性需要另行确认。
- [1] 排查回调签名验证错误 · 发布日期未注明; 更新日期未注明 · 核验于2026-09-23。
- [2] Stripe 官方 Next.js App Router 回调示例 · 发布日期未注明; 更新日期未注明 · 核验于2026-09-23。
- [3] Stripe 回调错误：找不到与正文匹配的签名 · 发布于2019-06-29; 更新于2022-10-05 · 核验于2026-09-23。