Webhook kurmak ve doğrulamak

import { createHmac, timingSafeEqual } from "node:crypto";

export function verify(raw: Buffer, id: string, timestamp: string,
                       signatures: string, secret: string): void {
  if (!/^\d{1,12}$/.test(timestamp) || !secret.startsWith("whsec_")) throw Error("Geçersiz başlık");
  const now = Math.floor(Date.now() / 1000);
  if (Math.abs(now - Number(timestamp)) > 300) throw Error("Eski veya gelecekteki istek");
  const expected = createHmac("sha256", Buffer.from(secret.slice(6), "base64"))
    .update(`${id}.${timestamp}.`).update(raw).digest();
  const valid = signatures.split(" ").some((entry) => {
    const [version, value] = entry.split(",");
    if (version !== "v1" || !value) return false;
    const actual = Buffer.from(value, "base64");
    return actual.length === expected.length && timingSafeEqual(actual, expected);
  });
  if (!valid) throw Error("İmza geçersiz");
}
// raw: JSON ayrıştırılmadan önce alınan Buffer.
// Başlıklar: webhook-id, webhook-timestamp, webhook-signature.
// İmza doğrulaması return.requested/approved/rejected/received/closed ve invoice.issued/failed/cancelled için de aynıdır; olay kimliğiyle tekilleştirin.
// Event.type: payment.failed (payments:read), inventory.low (inventory:read), webhook.test.
// Event.type: subscription.* (subscriptions:read), coupon.* (coupons:read), channel.order_imported/problem/recovered (channels:read).
// webhook.test otomatik denemedir; abonelik seçimi gerekmez, GET /events akışında yoktur.

import base64
import hashlib
import hmac
import re
import time


def verify(raw: bytes, event_id: str, timestamp: str,
           signatures: str, secret: str) -> None:
    if not re.fullmatch(r"[0-9]{1,12}", timestamp) or not secret.startswith("whsec_"):
        raise ValueError("Geçersiz başlık")
    if abs(int(time.time()) - int(timestamp)) > 300:
        raise ValueError("Eski veya gelecekteki istek")
    key = base64.b64decode(secret[6:], validate=True)
    message = f"{event_id}.{timestamp}.".encode() + raw
    expected = base64.b64encode(hmac.new(key, message, hashlib.sha256).digest()).decode()
    if not any(hmac.compare_digest(entry[3:], expected)
               for entry in signatures.split(" ") if entry.startswith("v1,")):
        raise ValueError("İmza geçersiz")
# raw = request.get_data() (Flask) / await request.body() (Starlette).
# İmza doğrulaması return.requested/approved/rejected/received/closed ve invoice.issued/failed/cancelled için de aynıdır; olay kimliğiyle tekilleştirin.
# Event.type: payment.failed (payments:read), inventory.low (inventory:read), webhook.test.
# Event.type: subscription.* (subscriptions:read), coupon.* (coupons:read), channel.order_imported/problem/recovered (channels:read).
# webhook.test otomatik denemedir; abonelik seçimi gerekmez, GET /events akışında yoktur.

<?php
function verifyWebhook(string $raw, string $id, string $timestamp,
                       string $signatures, string $secret): void {
    if (!preg_match('/^[0-9]{1,12}$/D', $timestamp) || !str_starts_with($secret, 'whsec_')) {
        throw new RuntimeException('Geçersiz başlık');
    }
    if (abs(time() - (int)$timestamp) > 300) {
        throw new RuntimeException('Eski veya gelecekteki istek');
    }
    $key = base64_decode(substr($secret, 6), true);
    if ($key === false) throw new RuntimeException('Sır geçersiz');
    $expected = base64_encode(hash_hmac('sha256', $id.'.'.$timestamp.'.'.$raw, $key, true));
    foreach (explode(' ', $signatures) as $entry) {
        if (str_starts_with($entry, 'v1,') && hash_equals($expected, substr($entry, 3))) return;
    }
    throw new RuntimeException('İmza geçersiz');
}
// $raw = file_get_contents('php://input'); JSON'a çevirmeden doğrulayın.
// İmza doğrulaması return.requested/approved/rejected/received/closed ve invoice.issued/failed/cancelled için de aynıdır; olay kimliğiyle tekilleştirin.
// Event.type: payment.failed (payments:read), inventory.low (inventory:read), webhook.test.
// Event.type: subscription.* (subscriptions:read), coupon.* (coupons:read), channel.order_imported/problem/recovered (channels:read).
// webhook.test otomatik denemedir; abonelik seçimi gerekmez, GET /events akışında yoktur.

using System;
using System.Linq;
using System.Text;
using System.Security.Cryptography;

public static class SiparisWebhook {
    public static void Verify(byte[] raw, string id, string timestamp,
                              string signatures, string secret) {
        if (timestamp.Length is < 1 or > 12 || timestamp.Any(c => c < '0' || c > '9')
            || !long.TryParse(timestamp, out var ts) || !secret.StartsWith("whsec_"))
            throw new ArgumentException("Geçersiz başlık");
        var now = DateTimeOffset.UtcNow.ToUnixTimeSeconds();
        if (ts < now - 300 || ts > now + 300) throw new ArgumentException("Eski veya gelecekteki istek");
        var prefix = Encoding.UTF8.GetBytes($"{id}.{timestamp}.");
        var message = new byte[prefix.Length + raw.Length];
        prefix.CopyTo(message, 0);
        raw.CopyTo(message, prefix.Length);
        var expected = HMACSHA256.HashData(Convert.FromBase64String(secret[6..]), message);
        foreach (var entry in signatures.Split(' ')) {
            if (!entry.StartsWith("v1,")) continue;
            try {
                var actual = Convert.FromBase64String(entry[3..]);
                if (CryptographicOperations.FixedTimeEquals(actual, expected)) return;
            } catch (FormatException) { }
        }
        throw new ArgumentException("İmza geçersiz");
    }
}
// Request.Body içeriğini byte[] olarak, JSON ayrıştırmadan önce alın.
// İmza doğrulaması return.requested/approved/rejected/received/closed ve invoice.issued/failed/cancelled için de aynıdır; olay kimliğiyle tekilleştirin.
// Event.type: payment.failed (payments:read), inventory.low (inventory:read), webhook.test.
// Event.type: subscription.* (subscriptions:read), coupon.* (coupons:read), channel.order_imported/problem/recovered (channels:read).
// webhook.test otomatik denemedir; abonelik seçimi gerekmez, GET /events akışında yoktur.