对账

Webhook payload 只是提示，不是权威资源快照。接入方必须跟踪相关 signing-request id，并定期读取：

GET /v1/club/compliance/signing-requests/{id}

它要求有效签名和 club.compliance.read，其他俱乐部的 id 返回 404。结果包在 { "data": ... } 中：请求状态字段是 status，item 使用 itemStatus 和 signedAt，已签证据使用 finalFileAssetId。只有 /v1/club/compliance/files/{fileId}/signed-url 能解析文件，并且另需 club.compliance.read_files。

列表路由的 since/until 过滤的是创建时间，不是更新时间。它不是变更流，不能替代对已跟踪 id 的详情回读。/v1/club/compliance/signing-requests/{id}/events 是签署审计时间线，不是 webhook 投递历史。

永久捕获间隙

签署业务状态先提交；之后 post-commit bridge 才在新事务中持久化 webhook outbox 行。若在此间隙失败，签署响应仍已提交。sweep 只能恢复已经持久化的行，无法补造从未捕获的行。因此“只靠 webhook、无需轮询”或“事件绝不缺失”的承诺都不成立；必须以权威详情对账。