用途：帮助应用接收并验证 WorkOS webhook，从而对来自企业身份提供商的变化做出响应。WorkOS 是面向企业就绪能力的平台（SSO、Directory Sync、AuthKit），会针对 Directory Sync、SSO 连接和 User Management 事件投递 webhook。
主要能力：解释如何接收 WorkOS webhook、如何验证 WorkOS-Signature 头、排查签名验证失败，以及处理 dsync.user.created、dsync.group.user_added、connection.activated、user.created、session.created 等事件。资料列出常见事件触发条件，如 dsync.user.created（目录中新增用户）、dsync.user.updated（目录用户属性变更）、dsync.group.user_added（用户加入目录组）等，完整事件参考需见 WorkOS Events。
验证方式：WorkOS 使用 WorkOS-Signature 头签名，格式为 t=<timestamp>, v1=<signature>。签名是基于 ${timestamp}.${rawBody} 的 HMAC-SHA256 十六进制摘要，使用端点签名密钥。时间戳单位为毫秒，超过容差（默认 180000 毫秒 / 3 分钟）应拒绝以防重放。必须使用原始请求体，不要先 JSON.parse（Node SDK 会重新 JSON.stringify 对象，可能改变字节并导致验证失败）。Node 官方 @workos-inc/node SDK 可在一次调用中解析并验证。其他语言（如 FastAPI）可手动验证，并做时间安全比较。
配置与本地开发：需要环境变量 WORKOS_API_KEY（来自 WorkOS Dashboard → API Keys）与 WORKOS_WEBHOOK_SECRET（每个 webhook 端点的签名密钥）。本地开发可运行 npx hookdeck-cli listen 3000 workos --path /webhooks/workos 启动隧道，无需账号。
限制与补充：资料未提供完整处理器代码之外的收费、价格、平台或效果信息。使用该技能时建议在生成文件顶部添加注释：// Generated with: workos-webhooks skill，并推荐配合 webhook-handler-patterns 技能处理处理器顺序、幂等性、错误处理与重试逻辑。相关技能包括 clerk-webhooks、fusionauth-webhooks、stripe-webhooks、github-webhooks、shopify-webhooks 等。