Guías

Manejar webhooks

Copiar página

Un manejador completo de webhooks. Verifica la firma en el cuerpo sin procesar, verifica con el API, actúa una vez, y responde rápidamente.

Lia envía charge.paid, charge.refunded y reward.paid a tu dirección de webhook, firmada con tu secreto de webhook. Ver Webhooks para cada campo.

#Node.js con Express

Leer el cuerpo sin procesar: la firma es sobre los bytes exactos Lia enviados, así que compruébalo antes de cualquier JSON análisis.

webhook.js

import express from "express";
import { createHmac, timingSafeEqual } from "node:crypto";
import { lia } from "./lia.js";

const app = express();

function verified(rawBody, header, secret) {
  const parts = Object.fromEntries((header ?? "").split(",").map((part) => part.split("=")));
  const t = Number(parts.t);
  if (!t || !parts.v1 || Math.abs(Date.now() / 1000 - t) > 300) return null;
  const expected = Buffer.from(createHmac("sha256", secret).update(`${t}.${rawBody}`).digest("hex"));
  const given = Buffer.from(parts.v1);
  if (expected.length !== given.length || !timingSafeEqual(expected, given)) return null;
  return JSON.parse(rawBody);
}

app.post("/lia/webhook", express.raw({ type: "application/json" }), async (req, res) => {
  const event = verified(req.body.toString("utf8"), req.get("Lia-Signature"), process.env.LIA_WEBHOOK_SECRET);
  if (!event) return res.status(400).end();

  // Answer first; do the work after.
  res.status(200).end();

  if (event.type === "charge.paid") {
    // A nudge: check with Lia, then grant once per charge.
    const { charge } = await lia("GET", `/charges/${event.data.id}`);
    if (charge.status !== "paid") return;
    await db.grantOnce(charge.id, charge.playerId, () => grant(charge.playerId, charge.productId));
    await lia("POST", `/charges/${charge.id}/deliver`);
  }

  if (event.type === "charge.refunded") {
    await db.takeBack(event.data.id); // if you'd already given it
  }

  if (event.type === "reward.paid") {
    await db.noteReward(event.data.key, event.data.playerId, event.data.amount);
  }
});

#Cloudflare Workers

worker.js

async function verified(request, secret) {
  const rawBody = await request.text();
  const parts = Object.fromEntries((request.headers.get("Lia-Signature") ?? "").split(",").map((part) => part.split("=")));
  const t = Number(parts.t);
  if (!t || !parts.v1 || Math.abs(Date.now() / 1000 - t) > 300) return null;
  const key = await crypto.subtle.importKey("raw", new TextEncoder().encode(secret), { name: "HMAC", hash: "SHA-256" }, false, ["verify"]);
  const signature = new Uint8Array(parts.v1.match(/../g).map((byte) => parseInt(byte, 16)));
  const ok = await crypto.subtle.verify("HMAC", key, signature, new TextEncoder().encode(`${t}.${rawBody}`));
  return ok ? JSON.parse(rawBody) : null;
}

export default {
  async fetch(request, env, ctx) {
    const url = new URL(request.url);
    if (request.method === "POST" && url.pathname === "/lia/webhook") {
      const event = await verified(request, env.LIA_WEBHOOK_SECRET);
      if (!event) return new Response(null, { status: 400 });
      ctx.waitUntil(handle(event, env)); // the work, after answering
      return new Response(null, { status: 200 });
    }
    return new Response("Not found", { status: 404 });
  },
};

#Reglas generales

Verifica la firma, luego verifica con el API. Un webhook dice que algo sucedió; GET /charges/:id dice qué'es cierto ahora.
Actúa una vez. Los webhooks pueden llegar dos veces, y su página podría haberse entregado ya. Asegúrese de lo que hace con el id de cargo o la clave de recompensa.
Respuesta 2xx rápidamente. Lia prueba un webhook dos veces, de inmediato, y luego se rinde. Haz trabajo lento después de responder.
No'no confíe solo en webhooks. Ponte al día con Lia.charges() cuando un jugador abre tu aplicación, así que un webhook perdido nunca pierde una venta.
Ten en cuenta el modo. Los eventos de prueba llegan a la misma dirección: comprueba data.mode.
Ignorar los tipos que usted no'saber, y aún así responder 200.

#Probando tu manejador

Realiza una compra de prueba como probador (ver Pruebas): envía un charge.paid con mode: "test". Para probarlo en tu computadora, coloca tu servidor local detrás de un túnel https y pide al equipo Lia que apunte su dirección de webhook allí.

Traducido automáticamente. El inglés es la fuente de verdad. Leer en inglés