如何给 Webhook 签名，让接收方能真正信任请求

这套 Webhook 签名方案在每次投递中携带 X-CompanyName-Signature 头，格式为 t=<时间戳>,v1=<HMAC-SHA256>，签名覆盖时间戳与原始请求体，接收方校验时间戳须在 300 秒内以阻止重放。