该技能面向 ShipStation V1 API（ssapi.shipstation.com），帮助搭建并保护 Webhook 处理端点。
用途：接收并验证 ShipStation Webhook，处理 ORDER_NOTIFY、SHIP_NOTIFY、ITEM_SHIP_NOTIFY 等事件。
主要特点：V1 的载荷很“薄”，只返回 resource_url 与 resource_type，需用 HTTP Basic 认证（API key : API secret）回取真实订单/发货数据；V1 没有 HMAC 或签名密钥，无法做密码学校验。因此信任模型为：在目标 URL 中嵌入不可猜的 secret token（?token=…），每次请求做 timing-safe 比较，并始终使用 HTTPS，再配合认证回取。
使用方式：校验 ?token= 查询参数（timingSafeEqual），随后带 Basic 认证 GET resource_url，并限定仅允许 ShipStation 主机（SSRF 防护，注意主机可能为 ssapi1/ssapi2 等编号形式，用正则匹配）。遇到 429 时读取 X-Rate-Limit-Reset。示例覆盖 Express、Next.js、FastAPI。
环境变量：SHIPSTATION_WEBHOOK_SECRET、SHIPSTATION_API_KEY、SHIPSTATION_API_SECRET。本地可用 npx hookdeck-cli listen 3000 shipstation --path /webhooks/shipstation 建隧道。
事件类型：ORDER_NOTIFY、ITEM_ORDER_NOTIFY、SHIP_NOTIFY、ITEM_SHIP_NOTIFY、FULFILLMENT_SHIPPED、FULFILLMENT_REJECTED。
限制：技能针对 V1；V2（api.shipstation.com/v2，基于 ShipEngine）使用不同事件与 RSA-SHA256 签名，10 秒确认窗口、约 30 分钟间隔重试约两次，仅作概述。V1 可能重发，需幂等处理；回取受 40 req/min 限速。订阅、密钥获取及定价等细节未在资料中全部说明。