Безопасность и подпись

const crypto = require('crypto');

function verifyWebhookSignature(payload, signature, secret) {
  const computed = crypto
    .createHmac('sha256', secret)
    .update(payload)
    .digest('hex');

  return crypto.timingSafeEqual(
    Buffer.from(computed, 'hex'),
    Buffer.from(signature, 'hex')
  );
}

// Пример использования в Express
app.post('/webhook', express.text({ type: 'application/json' }), (req, res) => {
  const signature = req.headers['x-webhook-signature'];
  const payload = req.body; // Сырое тело запроса в виде строки
  const secret = 'ваш_секретный_ключ_вебхука';
  
  if (!verifyWebhookSignature(payload, signature, secret)) {
    return res.status(401).send('Недействительная подпись');
  }
  
  const data = JSON.parse(payload);
  console.log('Получено событие:', data.type);
  res.status(200).send('OK');
});

import hmac
import hashlib
import json

def verify_webhook_signature(payload, signature, secret):
    computed = hmac.new(
        secret.encode('utf-8'),
        payload.encode('utf-8'),
        hashlib.sha256
    ).hexdigest()
    
    return hmac.compare_digest(computed, signature)

# Пример использования в Flask
from flask import Flask, request

@app.route('/webhook', methods=['POST'])
def webhook():
    signature = request.headers.get('X-Webhook-Signature')
    payload = request.get_data(as_text=True)
    secret = 'ваш_секретный_ключ_вебхука'
    
    if not verify_webhook_signature(payload, signature, secret):
        return 'Недействительная подпись', 401
    
    data = json.loads(payload)
    print('Получено событие:', data['type'])
    return 'OK', 200

function verifyWebhookSignature($payload, $signature, $secret) {
    $computed = hash_hmac('sha256', $payload, $secret);
    return hash_equals($computed, $signature);
}

// Пример использования
$signature = $_SERVER['HTTP_X_WEBHOOK_SIGNATURE'];
$payload = file_get_contents('php://input');
$secret = 'ваш_секретный_ключ_вебхука';

if (!verifyWebhookSignature($payload, $signature, $secret)) {
    http_response_code(401);
    echo 'Недействительная подпись';
    exit;
}

$data = json_decode($payload, true);
echo 'Получено событие: ' . $data['type'];