Ověření doručení

URL webhooku je veřejná. Kdokoli na internetu na ni může poslat POST se správně tvarovaným JSON, takže handler, který čte payload.type bez ověření podpisu, je otevřené zapisovací API.

import { verifyWebhookSignature } from '@openemail/sdk' export async function POST(request: Request) {  try {    const event = await verifyWebhookSignature({      payload: await request.text(),      headers: request.headers,      secret: process.env.OPENEMAIL_WEBHOOK_SECRET!,      toleranceSeconds: 300,    })     console.log(event.type, event.data)  } catch {    return new Response('bad signature', { status: 400 })  }   return new Response(null, { status: 204 })}

Předávejte NEZPRACOVANÉ tělo požadavku. Naparsování a opětovná serializace změní pořadí klíčů i mezery a podpis pak nebude sedět. headers přijímá objekt Headers nebo obyčejný objekt, například req.headers z Node, a hlavička X-OpenEmail-Signature se najde bez ohledu na velikost písmen.

Dvě věci, které tohle ošetří a ručně psaná kontrola obvykle ne: porovnává MAC v konstantním čase, takže správnou předponu nelze odhalit měřením času, a odmítne doručení starší než toleranceSeconds na kteroukoli stranu — bez jiného nastavení pět minut — takže zachycený požadavek nelze přehrávat donekonečna. toleranceSeconds: 0 kontrolu přehrání vypne. Obě chyby jsou tiché. Handler s kteroukoli z nich projde každým testem, který vás napadne napsat.