ReOTP.
Keselamatan dan Penyegerakan/Webhook dan HMAC
1 1-Minute Read

Webhook dan HMAC

Ketahui cara menerima pemberitahuan masa nyata yang selamat apabila nombor telefon disahkan.

Webhook ialah cara terpantas dan paling selamat untuk mengetahui bahawa pengguna telah berjaya disahkan tanpa perlu melakukan SSE (Server-Sent Events) (semakan berterusan).

Apabila pengguna menghantar mesej dan ia dipadankan dengan berjaya, sistem kami akan menghantar permintaan POST ke pautan (URL) yang anda tentukan terlebih dahulu dalam tetapan projek.

Keselamatan Webhook (Tandatangan HMAC)

Untuk memastikan permintaan benar-benar datang daripada pelayan kami dan bukan serangan palsu, kami menandatangani setiap permintaan menggunakan algoritma HMAC-SHA256.

1. Pergi ke tetapan projek dan jana Webhook Secret.

2. Tandatangan yang disulitkan akan dilampirkan dalam pengepala permintaan (Header) bernama x-webhook-signature.

3. Anda mesti mengira tandatangan pada pelayan anda menggunakan Secret anda sendiri dan membandingkannya dengan tandatangan yang dihantar.

Kod integrasi (SDKs)
const express = require('express');
const crypto = require('crypto');
const app = express();

const WEBHOOK_SECRET = process.env.REOTP_WEBHOOK_SECRET;
app.use(express.json());

app.post('/webhook/reotp', (req, res) => {
  const signatureHeader = req.headers['x-webhook-signature'];
  const payloadString = JSON.stringify(req.body);

  const expectedSignature = crypto
    .createHmac('sha256', WEBHOOK_SECRET)
    .update(payloadString)
    .digest('hex');

  if (signatureHeader !== expectedSignature) {
    return res.status(401).send('Invalid signature');
  }

  const { event, phoneNumber, requestId } = req.body;
  if (event === 'verification.success') {
    console.log(`User ${phoneNumber} verified! (ID: ${requestId})`);
  }

  res.status(200).send('OK');
});

app.listen(3000, () => console.log('Listening for Webhooks...'));
Artikel seterusnyaPengenalan kepada ReOTP