一文看懂 Webhook 是什么？怎么使用？

API 由一组定义和协议组合而成，可用于构建和集成应用软件。有时我们可以把 API 之间的通信当做信息用户和信息提供者之间的合同——建立消费者（呼叫）所需的内容和制作者（响应）要求的内容。这种关系也可描述为客户端应用调用服务器应用，但两种角色可以相互颠倒，具体取决于所给情景中是哪个应用在请求数据。  

Web API 通常使用 HTTP 从其他应用请求数据并定义响应报文的结构，其通常采用 XML 或 JSON 文件的格式。XML 和 JSON 都是首选格式，因为它们会以易于其他应用操纵的方式来呈现数据。 

当客户端 API 从服务器 API 请求数据时，它会通过调用来了解是否发生了特定的事件，即服务器的数据是否发生了可能对客户端有用的改变。在这个过程（称为轮询）中，客户端以固定间隔发送 HTTP 请求，直到服务器 API 发送相关的数据，此数据有时称为有效负载。 

客户端应用不知道服务器应用的状态，因此会轮询服务器 API 来获取更新，不断调用到发生特定事件为止，但服务器只会在信息可用时发送所请求数据。客户端应用必须一直索取更新，并等待到相关事件发生为止。

为了设置 webhook，客户端向服务器 API 提供唯一 URL，并指定它想要知道的事件。设置 webhook 后，客户端不再需要轮询服务器；发生指定的事件时，服务器会自动将相关的有效负载发送到客户端的 webhook URL。 

Webhook 通常被称为逆向 API 或推送 API，因为它们让通信责任落在了服务器而不是客户端身上。不再是客户端发送 HTTP 请求来索取数据，直到服务器响应为止，而是服务器等到数据可用时向客户端发送一个 HTTP POST 请求。虽然有这样的昵称，但 webhook 不是 API；两者相互配合。应用必须具有 API 才能使用 webhook。 

名称 webhook 是 web（指明其是基于 HTTP 的通信）与 hooking 编程函数（允许应用截获调用或可能感兴趣的其他事件）这两者的简单组合。Webhook 钩住服务器应用上发生的事件，并提示服务器通过 web 将有效负载发送给客户端。Jeff Lindsay 在 2007 年发表的题为《Webhook 革新 Web 世界》的博客文章，帮助推广了这一概念。

IT 团队使用各种方法来保护通过 webhook 通信的应用。大多数支持 webhook 的应用会将一个机密密钥添加至有效负载的请求标头中，以便客户端能够确认服务器的身份。Webhook 通常使用相互传输层安全（mTLS）身份验证进行保护，在有效负载被发送之前对客户端和服务器进行验证。此外，客户端应用往往将 SSL 加密用于 webhook URL，确保传输的数据保持私密。