用途：帮助开发者搭建 Picqer Webhook 接收端，验证签名并处理仓库与订单相关事件。
主要能力：验证 X-Picqer-Signature（对原始请求体做 HMAC-SHA256，密钥为创建 hook 时设置的 per-hook secret，摘要以 base64 编码）；按 payload.event 分发事件；提供 Express、Next.js、FastAPI 示例；支持本地隧道调试。
必要用法：创建 hook 时必须设置 secret，否则 Picqer 不发送签名头，无法验证。验证时使用原始 body，不可用重新序列化的 JSON，并做 timing-safe 比较。事件类型在 JSON body 的 event 字段中，没有事件头。Picqer 不提供专用幂等键，需用 data 内资源 ID 加 event 和 event_triggered_at 去重。
创建 hook 可用控制面板或 API（HTTP Basic，API key 作用户名）： curl -u YOUR_API_KEY: https://YOURSUBDOMAIN.picqer.com/api/v1/hooks -H "Content-Type: application/json" -d '{"name":"Order completed hook","event":"orders.completed","address":"https://your-app.com/webhooks/picqer","secret":"your_hook_secret"}'
本地调试：npx hookdeck-cli listen 3000 picqer --path /webhooks/picqer
常见事件：orders.created、orders.completed、orders.status_changed、picklists.created、picklists.closed、picklists.shipments.created、products.created、products.stock_changed、purchase_orders.created、returns.created。
限制：资料未提供完整事件列表、重试与速率限制细节，需查阅 references/overview.md、references/setup.md、references/verification.md 及 Picqer 官方文档。