Webhook-уведомления

const crypto = require('crypto');
const express = require('express');

const app = express();

// ВАЖНО: Используйте raw body parser для webhook endpoint
app.use('/webhooks/meridian', express.json({
  verify: (req, res, buf) => {
    // Сохраняем raw body для верификации подписи
    req.rawBody = buf.toString('utf8');
  }
}));

app.post('/webhooks/meridian', (req, res) => {
  const signature = req.headers['x-webhook-signature'];
  const event = req.headers['x-webhook-event'];
  const deliveryId = req.headers['x-webhook-delivery-id'];

  // Ваш notificationToken из настроек инвойса
  const notificationToken = process.env.MERIDIAN_NOTIFICATION_TOKEN;

  // Проверка подписи
  if (!verifySignature(req.rawBody, signature, notificationToken)) {
    console.error('Invalid webhook signature');
    return res.status(401).send('Invalid signature');
  }

  // Обработка события
  const payload = req.body;
  console.log(`Received ${event} for invoice ${payload.id}`);

  // Идемпотентность: проверьте deliveryId перед обработкой
  if (isAlreadyProcessed(deliveryId)) {
    return res.status(200).send('Already processed');
  }

  // Обработка по типу события
  switch (event) {
    case 'invoice.paid':
      handleInvoicePaid(payload);
      break;
    case 'invoice.expired':
      handleInvoiceExpired(payload);
      break;
    // ... другие события
  }

  // Важно: всегда возвращайте 200 для успешной обработки
  res.status(200).send('OK');
});

function verifySignature(payload, signature, secret) {
  const hmac = crypto.createHmac('sha256', secret);
  hmac.update(payload);
  const expectedSignature = hmac.digest('hex');

  // Используйте timing-safe сравнение для защиты от timing attacks
  try {
    return crypto.timingSafeEqual(
      Buffer.from(signature, 'hex'),
      Buffer.from(expectedSignature, 'hex')
    );
  } catch (err) {
    // Невалидный hex или разная длина
    return false;
  }
}

function isAlreadyProcessed(deliveryId) {
  // Реализуйте проверку в вашей БД или кеше
  // Например: return db.webhookDeliveries.exists(deliveryId);
  return false;
}

function handleInvoicePaid(invoice) {
  console.log(`Invoice ${invoice.id} paid: ${invoice.amount} ${invoice.currency}`);
  // Выполните бизнес-логику: отметьте заказ как оплаченный, отправьте товар и т.д.
}

function handleInvoiceExpired(invoice) {
  console.log(`Invoice ${invoice.id} expired`);
  // Отметьте заказ как истекший
}

app.listen(3000, () => {
  console.log('Webhook server listening on port 3000');
});