验证支付 Webhook 签名

在给客户入账或履约前，每一个支付 Webhook 都应该被验证。BoltUtil 使用商户 Webhook 密钥对 payload 签名。

签名验证模式

payload = raw_request_body
signature = HMAC_SHA256(payload, webhook_secret)

// Compare with the X-Bolt-Signature header by constant-time comparison.

验证流程

所有接收支付状态更新的 Webhook 端点都应该执行签名验证。

资金直接进入您配置的商户钱包。BoltUtil 只负责监听链上交易和发送通知，不接触也不托管用户资金。

通过同一套订单 API 和统一 Webhook，接入 TRC20、ERC20、BEP20 三条主流 USDT 网络。

当链上交易被检测并确认后，您的系统会收到带签名的回调，可自动发货、开通会员或入账。

这些回答帮助开发者、创始人和客服团队在接收真实 USDT 付款前理解完整支付生命周期。

BoltUtil 会托管商户资金吗？ +

不会。BoltUtil 是非托管的链上监听与通知层，商户配置自己的收款钱包，资金直接到商户钱包。

BoltUtil 如何匹配一笔付款？ +

系统会同时校验网络、收款地址、精确 USDT 金额、订单状态和订单有效期，然后才会更新订单。

目前支持哪些 USDT 网络？ +

当前生产重点支持 TRC20、ERC20 和 BEP20。

创建订单、监听转账并通知您的后端，不再要求客户发送付款截图。