我也遇到过类似的问题，使用这里建议的代码：SHA256 webhook signature from WooCommerce never verifies

var processWebHookSignature = function (secret, body, signature) {
  signatureComputed = crypto.createHmac('SHA256', secret)
  .update(new Buffer(JSON.stringify(body), 'utf8'))
  .digest('base64');

  return ( signatureComputed === signature ) ? true : false;
}

（其中主体来自请求主体）。
当我改变了我获得原始身体的方式时，这才开始对我起作用。我使用bodyParser中间件得到了它：
app.use(bodyParser.json({verify:function(req,res,buf){req.rawBody=buf}}))
(As解释在：https://github.com/expressjs/body-parser/issues/83#issuecomment-80784100)
所以现在不用new Buffer(JSON.stringify(body), 'utf8')，而用req.rawBody
我希望这也能解决你的问题。

延伸@genau的回答：

**你可能会问，为什么会出现这种情况！？**几乎所有人都在我们的express应用程序中添加了以下代码，该代码操作了实际的req.body，导致在验证哈希签名时出现问题。

app.use(express.json());

如何处理这个问题？

将原始req.body添加到新字段（例如：req.rawBody），并在验证签名时使用此字段而不是req.body。

// This code will copy the req.body data to req.rawBody
app.use(
  express.json({
    verify: function (req, res, buf) {
      req.rawBody = buf;
    },
  })
);

稍后，您可以验证签名，如下所示：

function requestHandler (req, res) {
    const incomingSignature = req.headers["x-wc-webhook-signature"]; // modify this accordingly
    const payload = req.rawBody; // Buffer, already, no need to stringify.

    const calculatedSignature = crypto
        .createHmac("sha256", "your-secret-key")
        .update(payload)
        .digest("base64");

    const isValid = calculatedSignature === incomingSignature;
  
    // ...
}

谢谢你，谢谢