一個 Meta 真的會收的 webhook 網址。

時序問題

把 callback 指到 AnyHook,只驗一個標頭

inbound 網址永遠不變,所以 App Dashboard 只要設一次。AnyHook 在 edge 驗 Meta 的 X-Hub-Signature-256、把事件存下來,再重新簽過 forward 給你的 handler。

// 1. AnyHook 這邊:把 app 的 source 設成 Meta,貼上 App Secret。
//    Verify Token 選填。那串字是你自己編的,不是從 Meta 複製來的。
//
// 2. Meta App Dashboard -> Webhooks:
//    Callback URL: https://in.anyhook.net/{user-slug}/{app-slug}
//    Verify Token: 你剛剛選的同一串
//
//    AnyHook 會回 GET 握手,所以網址第一次就存得進去。

import { verifyWebhook } from "anyhook-verify";

export async function POST(req: Request) {
  const ok = await verifyWebhook(req, process.env.ANYHOOK_SIGNING_SECRET!);
  if (!ok) return new Response("invalid signature", { status: 401 });

  const event = await req.json();
  const change = event.payload.entry?.[0]?.changes?.[0];

  // Meta 已經拿到回應了。這裡要跑多久都行。
  if (change?.field === "comments") {
    await replyToComment(change.value);   // LLM 呼叫,幾秒
  }

  return new Response("ok", { status: 200 });
}

工程團隊常問的問題

Meta 說我的 callback URL 驗證失敗,為什麼？

那個驗證是一個帶著 hub.mode=subscribe 跟 hub.challenge 的 GET,你的網址必須把 challenge 原封不動當成整個 body 送回去,不能包成 JSON、也不能多一個換行。AnyHook 會替你回,所以 inbound 網址第一次就存得進去。如果你在 AnyHook 設了 Verify Token,App Dashboard 那邊要填同一串。

IG、FB、Threads 要分開設三次嗎？

不用。三個走的是同一套 Graph API webhook 契約、同一個 X-Hub-Signature-256 簽章,所以一個 AnyHook app 就涵蓋完。要訂閱哪些事件在 App Dashboard 選。

機器人重新部署的時候,留言和私訊會怎樣？

AnyHook 在事件進來的當下就存起來,再以遞增間隔重試你的端點,所以部署或崩潰不會讓你損失那則訊息。Meta 只看到一次接收成功,就不再管了。

Verify Token 跟 App Secret 是同一個東西嗎？

不是,而且不該填成同一串。App Secret 負責簽每一個 payload,永遠不會出現在網址裡。Verify Token 是你自己編的,它從設定握手的查詢字串進來,而且只用那一次。把 App Secret 放進查詢字串,等於洒進沿途每一份日誌。