独立产品接短信/语音时,常见卡点是:控制台填了 URL,入站消息来了应用却无响应或回了非 TwiML——又或未验签被伪造请求打穿。
Twilio Docs《Introduction to Webhooks》(TechArticle dateModified 可核)说明:Twilio 用 Webhook 在来电、来信等事件发生时通知你的 Web 应用;REST API 负责你的应用→Twilio,Webhook 负责反向。事件发生后 Twilio 向你配置的 URL 发 HTTP 请求,载荷含来电号码、短信正文等。文档区分两类:产品 Webhook(Voice、Messaging、Conversations、Sync 等按产品各自约定)与运行时 Webhook(如账单阈值、错误等)。对入站短信等场景,Twilio 会向你的应用索取指令,应用须返回合法 TwiML;对录音完成等通知类,通常只需确认收到。可用 Webhooks configuration API 按 URL 控制鉴权、签名与投递方式。配套《Secure webhooks》强调用账户 Auth Token 做 HMAC-SHA1 签名校验,并说明 query/form/JSON(bodySHA256)三类参数均须按文档纳入校验;Twilio 无固定出站 IP 段,不宜只靠 IP 白名单。本场景据此输出入站接入简报。禁止回显 Auth Token 或声称「生产 Webhook 已接通」。