Weryfikacja dostawy

Adres URL webhooka jest publiczny. Dowolny host w internecie może wysłać na niego metodą POST JSON o właściwym kształcie, więc handler, który czyta payload.type bez sprawdzenia podpisu, jest otwartym API do zapisu.

import { verifyWebhookSignature } from '@openemail/sdk' export async function POST(request: Request) {  try {    const event = await verifyWebhookSignature({      payload: await request.text(),      headers: request.headers,      secret: process.env.OPENEMAIL_WEBHOOK_SECRET!,      toleranceSeconds: 300,    })     console.log(event.type, event.data)  } catch {    return new Response('bad signature', { status: 400 })  }   return new Response(null, { status: 204 })}

Przekazuj SUROWE ciało żądania. Sparsowanie i ponowna serializacja zmieniają kolejność kluczy oraz białe znaki i podpis się nie zgodzi. headers przyjmuje obiekt Headers albo zwykły obiekt, taki jak req.headers w Node, a nagłówek X-OpenEmail-Signature zostanie odnaleziony niezależnie od wielkości liter.

Dwie rzeczy, o które ta funkcja dba, a o które ręcznie pisana weryfikacja zwykle nie: porównuje MAC w stałym czasie, więc poprawnego prefiksu nie da się odtworzyć pomiarem czasu, oraz odrzuca dostawę starszą niż toleranceSeconds w którąkolwiek stronę — domyślnie pięć minut — więc przechwyconego żądania nie da się powtarzać w nieskończoność. toleranceSeconds: 0 wyłącza kontrolę powtórzeń. Oba błędy są ciche. Handler z którymkolwiek z nich przejdzie każdy test, jaki przyszłoby ci do głowy napisać.