例：你与 GitHub 约定一个 secret，GitHub 推送 Webhook 时用 secret + 消息体算出 HMAC，放进请求头 X-Hub-Signature-256；你的服务器用同一个 secret 再算一遍——结果一致才处理，不一致直接拒绝。没有 secret 的人无法伪造这个签名。