webhook-dx-audit

用途：审计任意向开发者发送事件的公司（如 Stripe、Shopify、Paddle 或更小平台）其出站 Webhook 与事件目标的端到端开发者体验，覆盖从发现、接入到生产的流程，产出带评分与优先级建议的 YAML 审计文件。评价对象是集成方开发者实际接触到的内容：文档、控制台、签名、重试、可观测性与工具链，且仅使用公开或产品中已暴露的信息。\n\n主要能力：将“出站 Webhook”与“事件目标”视为同一审计对象，对标 https://eventdestinations.org 的 Event Destinations 倡议，无论平台用什么名称。评分采用 0/1/2、Not Supported（=0 并标注意图）、Not Applicable（逻辑排除）、Not Assessed（无法触达）等状态。Pass 1 产出 Public-scope 等级与 Provisional minimum 两个汇总；结论映射到 12 个类别（含 agent/AI 就绪度）。\n\n使用方式：需先声明平台目标受众（developer-platform、no-code-saas 或 mixed），并通过抓取官网佐证。流程分两遍：Pass 1 由智能体做无人工的公开面研究；Pass 2 折叠人工核验（HITL）证据。人工负责注册账号及产品内界面（控制台配置、发测试事件、投递日志、端点自管）；关键采集是一次真实投递的完整载荷（全部请求头与正文），用于确认真实签名头、去重 ID、时间戳格式与自定义头。默认采用 relay 模式。审查 YAML 从 assets/report-template.yaml 脚手架生成，含 audit.platform、audit.prepared、reviewer、findings、sources、scorecard、recommendations 等；首次收集 HITL 证据须写同级 hitl-evidence.yaml 以便复审计预载；提交前运行 npm run lint:file -- <path> 校验。\n\n适用场景：审查、评级或批评某平台 Webhook/事件目标的 DX，范围含接入、首个 Webhook 投递、本地开发、本地到生产过渡、事件类型、签名、重试与示例。\n\n限制：仅基于公开或产品已暴露信息，区分“观察”与“推断”，每条发现须引用来源；未确认的能力须标为 Not Assessed，不可臆测。人工无法参与时相关项无法评分。本工具为审计流程，不改变被审计平台的代码或行为。具体收费、价格、平台支持范围等资料未提供。