Guias

Tratar webhooks

Copiar página

Um manipulador completo de webhooks. Verifique a assinatura no corpo bruto, verifique com o API, atue uma vez, e responda rapidamente.

Lia envia charge.paid, charge.refunded e reward.paid para o seu endereço de webhook, assinado com seu segredo de webhook. Veja Webhooks para cada campo.

#Node.js com Express

Leia o corpo bruto: a assinatura está sobre os bytes exatos Lia enviados, então verifique-a antes de qualquer análise JSON.

webhook.js

import express from "express";
import { createHmac, timingSafeEqual } from "node:crypto";
import { lia } from "./lia.js";

const app = express();

function verified(rawBody, header, secret) {
  const parts = Object.fromEntries((header ?? "").split(",").map((part) => part.split("=")));
  const t = Number(parts.t);
  if (!t || !parts.v1 || Math.abs(Date.now() / 1000 - t) > 300) return null;
  const expected = Buffer.from(createHmac("sha256", secret).update(`${t}.${rawBody}`).digest("hex"));
  const given = Buffer.from(parts.v1);
  if (expected.length !== given.length || !timingSafeEqual(expected, given)) return null;
  return JSON.parse(rawBody);
}

app.post("/lia/webhook", express.raw({ type: "application/json" }), async (req, res) => {
  const event = verified(req.body.toString("utf8"), req.get("Lia-Signature"), process.env.LIA_WEBHOOK_SECRET);
  if (!event) return res.status(400).end();

  // Answer first; do the work after.
  res.status(200).end();

  if (event.type === "charge.paid") {
    // A nudge: check with Lia, then grant once per charge.
    const { charge } = await lia("GET", `/charges/${event.data.id}`);
    if (charge.status !== "paid") return;
    await db.grantOnce(charge.id, charge.playerId, () => grant(charge.playerId, charge.productId));
    await lia("POST", `/charges/${charge.id}/deliver`);
  }

  if (event.type === "charge.refunded") {
    await db.takeBack(event.data.id); // if you'd already given it
  }

  if (event.type === "reward.paid") {
    await db.noteReward(event.data.key, event.data.playerId, event.data.amount);
  }
});

#Cloudflare Workers

worker.js

async function verified(request, secret) {
  const rawBody = await request.text();
  const parts = Object.fromEntries((request.headers.get("Lia-Signature") ?? "").split(",").map((part) => part.split("=")));
  const t = Number(parts.t);
  if (!t || !parts.v1 || Math.abs(Date.now() / 1000 - t) > 300) return null;
  const key = await crypto.subtle.importKey("raw", new TextEncoder().encode(secret), { name: "HMAC", hash: "SHA-256" }, false, ["verify"]);
  const signature = new Uint8Array(parts.v1.match(/../g).map((byte) => parseInt(byte, 16)));
  const ok = await crypto.subtle.verify("HMAC", key, signature, new TextEncoder().encode(`${t}.${rawBody}`));
  return ok ? JSON.parse(rawBody) : null;
}

export default {
  async fetch(request, env, ctx) {
    const url = new URL(request.url);
    if (request.method === "POST" && url.pathname === "/lia/webhook") {
      const event = await verified(request, env.LIA_WEBHOOK_SECRET);
      if (!event) return new Response(null, { status: 400 });
      ctx.waitUntil(handle(event, env)); // the work, after answering
      return new Response(null, { status: 200 });
    }
    return new Response("Not found", { status: 404 });
  },
};

#Regras práticas

Verifique a assinatura, depois verifique com o API. Um webhook diz que algo aconteceu; GET /charges/:id diz o que'é verdade agora.
Aja uma vez. Webhooks podem chegar duas vezes, e sua página pode já ter entregue. Chave o que você faz com o id da cobrança ou a chave da recompensa.
Resposta 2xx rapidamente. Lia tenta um webhook duas vezes, imediatamente, e depois desiste. Faça trabalhos lentos após responder.
Don'para depender apenas de webhooks. Pegue o ritmo com Lia.charges() quando um jogador abre seu app, então um webhook perdido nunca perde uma venda.
Cuidado com o modo. Eventos de teste chegam ao mesmo endereço: verifique data.mode.
Ignore os tipos que você não'saber, e ainda responda 200.

#Testando seu manipulador

Faça uma compra de teste como testador (veja Testando): ele envia um real, assinado charge.paid com mode: "test". Para testá-lo no seu computador, coloque seu servidor local atrás de um túnel https e peça à equipe Lia para apontar o endereço do seu webhook para lá.

Traduzido automaticamente. O inglês é a fonte de verdade. Leia em inglês