Webhook-уведомления

const crypto = require('crypto');
const express = require('express');

const app = express();

// ВАЖНО: Используйте raw body parser для webhook endpoint
app.use('/webhooks/meridian', express.json({
  verify: (req, res, buf) => {
    // Сохраняем raw body для верификации подписи
    req.rawBody = buf.toString('utf8');
  }
}));

app.post('/webhooks/meridian', (req, res) => {
  const signature = req.headers['x-webhook-signature'];
  const event = req.headers['x-webhook-event'];
  const deliveryId = req.headers['x-webhook-delivery-id'];

  // Ваш notificationToken из настроек инвойса
  const notificationToken = process.env.MERIDIAN_NOTIFICATION_TOKEN;

  // Проверка подписи
  if (!verifySignature(req.rawBody, signature, notificationToken)) {
    console.error('Invalid webhook signature');
    return res.status(401).send('Invalid signature');
  }

  // Обработка события
  const payload = req.body;
  console.log(`Received ${event} for invoice ${payload.id}`);

  // Идемпотентность: проверьте deliveryId перед обработкой
  if (isAlreadyProcessed(deliveryId)) {
    return res.status(200).send('Already processed');
  }

  // Обработка по типу события
  switch (event) {
    case 'invoice.paid':
      handleInvoicePaid(payload);
      break;
    case 'invoice.expired':
      handleInvoiceExpired(payload);
      break;
    // ... другие события
  }

  // Важно: всегда возвращайте 200 для успешной обработки
  res.status(200).send('OK');
});

function verifySignature(payload, signature, secret) {
  const hmac = crypto.createHmac('sha256', secret);
  hmac.update(payload);
  const expectedSignature = hmac.digest('hex');

  // Используйте timing-safe сравнение для защиты от timing attacks
  try {
    return crypto.timingSafeEqual(
      Buffer.from(signature, 'hex'),
      Buffer.from(expectedSignature, 'hex')
    );
  } catch (err) {
    // Невалидный hex или разная длина
    return false;
  }
}

function isAlreadyProcessed(deliveryId) {
  // Реализуйте проверку в вашей БД или кеше
  // Например: return db.webhookDeliveries.exists(deliveryId);
  return false;
}

function handleInvoicePaid(invoice) {
  console.log(`Invoice ${invoice.id} paid: ${invoice.amount} ${invoice.currency}`);
  // Выполните бизнес-логику: отметьте заказ как оплаченный, отправьте товар и т.д.
}

function handleInvoiceExpired(invoice) {
  console.log(`Invoice ${invoice.id} expired`);
  // Отметьте заказ как истекший
}

app.listen(3000, () => {
  console.log('Webhook server listening on port 3000');
});

import hmac
import hashlib
from flask import Flask, request, jsonify

app = Flask(__name__)

# Ваш notificationToken из настроек инвойса
NOTIFICATION_TOKEN = 'your_notification_token_here'

@app.route('/webhooks/meridian', methods=['POST'])
def handle_webhook():
    signature = request.headers.get('X-Webhook-Signature')
    event = request.headers.get('X-Webhook-Event')
    delivery_id = request.headers.get('X-Webhook-Delivery-Id')

    # Получаем raw body для верификации
    payload = request.get_data(as_text=True)

    # Проверка подписи
    if not verify_signature(payload, signature, NOTIFICATION_TOKEN):
        print('Invalid webhook signature')
        return jsonify({'error': 'Invalid signature'}), 401

    # Парсим JSON
    data = request.get_json()
    print(f'Received {event} for invoice {data["id"]}')

    # Идемпотентность
    if is_already_processed(delivery_id):
        return jsonify({'status': 'already processed'}), 200

    # Обработка события
    if event == 'invoice.paid':
        handle_invoice_paid(data)
    elif event == 'invoice.expired':
        handle_invoice_expired(data)
    # ... другие события

    return jsonify({'status': 'ok'}), 200

def verify_signature(payload, signature, secret):
    """
    Проверка HMAC-SHA256 подписи webhook
    """
    expected_signature = hmac.new(
        secret.encode('utf-8'),
        payload.encode('utf-8'),
        hashlib.sha256
    ).hexdigest()

    # Используйте timing-safe сравнение
    return hmac.compare_digest(signature, expected_signature)

def is_already_processed(delivery_id):
    """
    Проверка, был ли этот webhook уже обработан
    Реализуйте проверку в вашей БД или кеше
    """
    # Например: return db.webhook_deliveries.exists(delivery_id)
    return False

def handle_invoice_paid(invoice):
    print(f'Invoice {invoice["id"]} paid: {invoice["amount"]} {invoice["currency"]}')
    # Выполните бизнес-логику

def handle_invoice_expired(invoice):
    print(f'Invoice {invoice["id"]} expired')
    # Обработка истекшего инвойса

if __name__ == '__main__':
    app.run(port=3000)

<?php

// Ваш notificationToken из настроек инвойса
$notificationToken = getenv('MERIDIAN_NOTIFICATION_TOKEN');

// Получаем заголовки
$signature = $_SERVER['HTTP_X_WEBHOOK_SIGNATURE'] ?? '';
$event = $_SERVER['HTTP_X_WEBHOOK_EVENT'] ?? '';
$deliveryId = $_SERVER['HTTP_X_WEBHOOK_DELIVERY_ID'] ?? '';

// Получаем raw body
$payload = file_get_contents('php://input');

// Проверка подписи
if (!verifySignature($payload, $signature, $notificationToken)) {
    error_log('Invalid webhook signature');
    http_response_code(401);
    echo json_encode(['error' => 'Invalid signature']);
    exit;
}

// Парсим JSON
$data = json_decode($payload, true);
error_log("Received {$event} for invoice {$data['id']}");

// Идемпотентность
if (isAlreadyProcessed($deliveryId)) {
    http_response_code(200);
    echo json_encode(['status' => 'already processed']);
    exit;
}

// Обработка события
switch ($event) {
    case 'invoice.paid':
        handleInvoicePaid($data);
        break;
    case 'invoice.expired':
        handleInvoiceExpired($data);
        break;
    // ... другие события
}

// Возвращаем успех
http_response_code(200);
echo json_encode(['status' => 'ok']);

function verifySignature($payload, $signature, $secret) {
    $expectedSignature = hash_hmac('sha256', $payload, $secret);

    // Используйте timing-safe сравнение
    return hash_equals($signature, $expectedSignature);
}

function isAlreadyProcessed($deliveryId) {
    // Реализуйте проверку в вашей БД
    // Например: return $db->query("SELECT EXISTS(SELECT 1 FROM webhook_deliveries WHERE id = ?)", [$deliveryId]);
    return false;
}

function handleInvoicePaid($invoice) {
    error_log("Invoice {$invoice['id']} paid: {$invoice['amount']} {$invoice['currency']}");
    // Выполните бизнес-логику
}

function handleInvoiceExpired($invoice) {
    error_log("Invoice {$invoice['id']} expired");
    // Обработка истекшего инвойса
}
?>