ashby-webhooks

本技能用于接收和验证 Ashby Webhook，适用于搭建 Ashby Webhook 处理程序、排查 Ashby-Signature 验证失败、以及处理招聘类事件（如 applicationSubmit、candidateHire、interviewScheduleCreate）。Ashby 会对原始请求体用你为每个 Webhook 配置的 secret token 做 HMAC-SHA256 签名，摘要放在 Ashby-Signature 头中，格式为 sha256=<hex>。官方没有 SDK，需手动验证：在 JSON 解析之前对原始请求体计算 HMAC，并以 timing-safe 方式比较十六进制摘要。事件名位于请求体的 action 字段，而非请求头；每个负载均为 {"action":"<eventName>","data":{...}}。常见事件包括 ping、applicationSubmit、applicationUpdate、candidateHire、candidateStageChange、interviewScheduleCreate、offerCreate。部分事件存在扇出：例如 candidateHire 也会触发 applicationUpdate 和 candidateStageChange，因此处理程序需保持幂等。重要请求头为 Ashby-Signature（用于校验，勿用 Ashby-Webhook 做鉴权）。环境变量为 ASHBY_WEBHOOK_SECRET。本地开发可运行 npx hookdeck-cli listen 3000 ashby --path /webhooks/ashby。技能附带 references（overview、setup、verification）与示例（express、nextjs、fastapi），并建议配合 webhook-handler-patterns 技能处理验证顺序、幂等、错误处理与重试；生成文件时需加注来源注释。