企业微信 Webhook 地址泄露后，最直接的处理方式是移除旧机器人并生成新地址，后续必须启用签名验证机制。适用场景为群机器人消息接口被未授权调用，风险边界在于无法追溯已发送的恶意消息源头。
先说结论：Webhook 地址等同于密钥，一旦泄露必须作废重置，仅靠修改代码无法止损。
- 先判断：确认泄露范围是仅地址泄露还是密钥同时泄露。
- 优先做：在企业微信管理后台删除旧机器人，创建新机器人获取新 Webhook 地址。
- 再验证：启用签名验证功能，并使用新地址发送测试消息确认通道正常。
快速处理思路
如果无法立即修改代码启用签名，可先通过网络安全策略限制出站请求，但根本解决需要更新调用代码。以下 curl 命令展示了启用签名后的合法请求格式，未签名的请求将被拦截。
curl 'https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=YOUR_NEW_KEY' \
-H 'Content-Type: application/json' \
-d '{
"msgtype": "text",
"text": {
"content": "测试消息"
}
}'启用签名后，需在 URL 后拼接 timestamp 和 signature 参数，具体计算逻辑需参考官方文档。
为什么会这样
企业微信群机器人的 Webhook 地址本身包含认证信息，默认情况下持有该 URL 即可发送消息。公开资料中没有看到可靠的量化数据说明泄露后的被攻击频率，但机制上属于“持有即授权”。如果不启用额外的签名验证（Secret），任何获取到该链接的内部或外部人员均可调用接口发送消息，导致垃圾信息或钓鱼内容进入企业群聊。
分步处理
按照以下顺序操作可确保旧地址失效且新通道安全。
步骤 1：移除旧机器人
进入企业微信管理后台或群聊设置，找到已泄露的机器人，执行删除操作。此动作会立即使旧 Webhook 地址失效，无法再发送消息。
步骤 2：创建新机器人并记录 Secret
重新添加群机器人，勾选“加签”选项。系统会生成新的 Webhook 地址和 Secret 密钥。将 Secret 保存在安全的配置中心或环境变量中，严禁硬编码在代码仓库。
步骤 3：更新业务代码
修改发送消息的服务端代码，使用 HMAC_SHA256 算法，将 Secret 和当前时间戳生成签名。将签名和时间戳拼接到 Webhook 请求参数中。
步骤 4：回滚提醒
如果更新代码期间业务依赖消息通知，需确保新旧地址切换期间的监控告警不中断，建议先在测试群验证签名逻辑。
怎么验证是否生效
通过发送非法请求和合法请求对比来验证防护是否生效。
验证动作 1：使用旧地址发送
使用已删除机器人的旧 Webhook 地址发起 POST 请求，预期返回错误码，提示地址失效或权限不足。
验证动作 2：使用新地址但不带签名发送
使用新 Webhook 地址但不拼接 signature 参数发起请求，预期被接口拒绝，返回签名错误相关提示。
验证动作 3：查看群聊表现
确认只有带有正确签名的请求消息出现在企业微信群中，无不明来源的测试消息。
常见坑
前端代码暴露 Webhook
切勿将 Webhook 地址写在前端 JavaScript 代码中，前端代码对用户可见，等同于公开密钥。必须通过后端服务中转发送请求。
日志打印敏感信息
检查服务端日志配置，确保 Webhook 完整 URL 和 Secret 不会被记录到明文日志文件或第三方日志服务中。
签名时间戳过期
签名机制通常包含时间戳验证，请求时间与服务器时间偏差过大可能导致请求失败，需确保调用服务器时间同步。
常见问题
Webhook 地址泄露后能直接修改吗？
不能直接修改，必须删除旧机器人后重新创建。企业微信官方机制不支持原地重置 Webhook 链接，删除是使旧链接失效的唯一途径。
启用签名验证会影响消息发送速度吗？
公开资料中没有看到可靠的量化数据说明具体延迟增加幅度。签名计算在本地完成，仅增加毫秒级计算耗时，主要延迟取决于网络请求，通常可忽略不计。
如何防止内部人员恶意调用？
签名验证无法完全防止拥有 Secret 权限的内部人员。需配合权限管理系统，限制 Secret 的访问范围，并开启企业微信后台的操作日志审计。
参考来源
- 企业微信官方文档，群机器人接口说明，https://work.weixin.qq.com/api/doc/90000/90136/91770