使用 client_secret for Oauth 2.0 应用程序生成 Webhook 签名

问：

我目前正在开发一个允许第三方应用程序连接的 SAAS。

在创建第三方应用程序时，我生成client_id并client_secret。我在数据库中保存了client_secret的哈希版本。

根据用户操作，我还需要将事件发送到 webhook url，并且需要使用 HMAC 签名。

2 个问题：

1. 如何正确地将client_secret保存在我的数据库中以确保安全，但也允许在SAAS中将该密钥显示为纯文本？

2. 由于client_secret在数据库内进行哈希处理，如何创建 webhook 签名并允许第三方应用程序对其进行验证？

谢谢