Webhooki

# ręczne sprawdzenie podpisu w terminalu: policz HMAC z "<t>.<treść>" i porównaj z v1
T=1760000001
TRESC='{"id":"evt_Ab12Cd34Ef56Gh","type":"payment.succeeded"}'
printf '%s.%s' "$T" "$TRESC" | openssl dgst -sha256 -hmac "$OPLAC_WEBHOOK_SECRET"

<?php
// odbiorca webhooka: surowa treść, podpis, 2xx w ciągu 10 sekund, obsługa idempotentna po id
$tresc = file_get_contents('php://input');
$naglowek = $_SERVER['HTTP_OPLAC_SIGNATURE'] ?? '';

function podpisPoprawny(string $tresc, string $naglowek, string $sekret, int $tolerancja = 300): bool
{
    $czesci = [];
    foreach (explode(',', $naglowek) as $para) {
        [$k, $v] = array_pad(explode('=', trim($para), 2), 2, '');
        $czesci[$k] = $v;
    }
    $t = (int) ($czesci['t'] ?? 0);
    if ($t <= 0 || ! isset($czesci['v1']) || abs(time() - $t) > $tolerancja) {
        return false;
    }

    return hash_equals(hash_hmac('sha256', $t . '.' . $tresc, $sekret), $czesci['v1']);
}

if (! podpisPoprawny($tresc, $naglowek, getenv('OPLAC_WEBHOOK_SECRET'))) {
    http_response_code(400);
    exit;
}

$event = json_decode($tresc, true);
if (! zdarzenieJuzObsluzone($event['id'])) {          // tabela obsłużonych id: to samo zdarzenie może przyjść dwa razy
    if ($event['type'] === 'payment.succeeded' && $event['livemode'] === true) {
        oznaczZamowienieOplacone($event['data']['object']['metadata']['order_id']);
    }
    zapiszObsluzone($event['id']);
}
http_response_code(200);

import crypto from 'node:crypto';
import express from 'express';

const app = express();

function podpisPoprawny(tresc, naglowek, sekret, tolerancja = 300) {
  const czesci = Object.fromEntries(naglowek.split(',').map((p) => p.trim().split('=')));
  const t = Number(czesci.t);
  if (!t || !czesci.v1 || Math.abs(Date.now() / 1000 - t) > tolerancja) return false;
  const oczekiwany = crypto.createHmac('sha256', sekret).update(`${t}.${tresc}`).digest('hex');
  return oczekiwany.length === czesci.v1.length && crypto.timingSafeEqual(Buffer.from(oczekiwany), Buffer.from(czesci.v1));
}

// express.raw zachowuje surową treść: nie używaj tu express.json()
app.post('/oplac/webhook', express.raw({ type: 'application/json' }), async (req, res) => {
  if (!podpisPoprawny(req.body.toString('utf8'), req.get('Oplac-Signature') || '', process.env.OPLAC_WEBHOOK_SECRET)) {
    return res.sendStatus(400);
  }
  const event = JSON.parse(req.body.toString('utf8'));
  res.sendStatus(200); // najpierw odpowiedź, potem praca: 10 sekund na odpowiedź

  if (await zdarzenieJuzObsluzone(event.id)) return; // to samo zdarzenie może przyjść dwa razy
  if (event.type === 'payment.succeeded' && event.livemode === true) {
    await oznaczZamowienieOplacone(event.data.object.metadata.order_id);
  }
  await zapiszObsluzone(event.id);
});

import hashlib
import hmac
import json
import os
import time

from flask import Flask, request

app = Flask(__name__)

def podpis_poprawny(tresc: bytes, naglowek: str, sekret: str, tolerancja: int = 300) -> bool:
    czesci = dict(p.strip().split("=", 1) for p in naglowek.split(",") if "=" in p)
    try:
        t = int(czesci.get("t", 0))
    except ValueError:
        return False
    if t <= 0 or "v1" not in czesci or abs(time.time() - t) > tolerancja:
        return False
    oczekiwany = hmac.new(sekret.encode(), f"{t}.".encode() + tresc, hashlib.sha256).hexdigest()
    return hmac.compare_digest(oczekiwany, czesci["v1"])

@app.post("/oplac/webhook")
def webhook():
    tresc = request.get_data()  # surowe bajty, nie request.json
    if not podpis_poprawny(tresc, request.headers.get("Oplac-Signature", ""), os.environ["OPLAC_WEBHOOK_SECRET"]):
        return "", 400
    event = json.loads(tresc)
    if not zdarzenie_juz_obsluzone(event["id"]):  # to samo zdarzenie może przyjść dwa razy
        if event["type"] == "payment.succeeded" and event["livemode"] is True:
            oznacz_zamowienie_oplacone(event["data"]["object"]["metadata"]["order_id"])
        zapisz_obsluzone(event["id"])
    return "", 200