Webhooks

const crypto = require('crypto');

function verificar(rawBody, header, segredo) {
  const partes = Object.fromEntries(header.split(',').map(p => p.split('=')));
  const t = Number(partes.t);

  // Rejeita entregas antigas: sem isso, alguém que capturou uma entrega
  // pode reenviá-la para sempre.
  if (Math.abs(Date.now() / 1000 - t) > 300) return false;

  const esperado = crypto.createHmac('sha256', segredo)
    .update(`${t}.${rawBody}`)
    .digest('hex');

  // Comparação em tempo constante.
  return crypto.timingSafeEqual(Buffer.from(esperado), Buffer.from(partes.v1));
}

func verificar(rawBody []byte, header, segredo string) bool {
    var ts int64
    var v1 string
    for _, parte := range strings.Split(header, ",") {
        kv := strings.SplitN(parte, "=", 2)
        if len(kv) != 2 { continue }
        switch kv[0] {
        case "t":  ts, _ = strconv.ParseInt(kv[1], 10, 64)
        case "v1": v1 = kv[1]
        }
    }
    if math.Abs(float64(time.Now().Unix()-ts)) > 300 { return false }

    mac := hmac.New(sha256.New, []byte(segredo))
    fmt.Fprintf(mac, "%d.", ts)
    mac.Write(rawBody)
    return hmac.Equal([]byte(hex.EncodeToString(mac.Sum(nil))), []byte(v1))
}

function verificar(string $rawBody, string $header, string $segredo): bool {
    parse_str(str_replace(',', '&', $header), $partes);
    $t = (int)($partes['t'] ?? 0);
    if (abs(time() - $t) > 300) return false;

    $esperado = hash_hmac('sha256', "{$t}.{$rawBody}", $segredo);
    return hash_equals($esperado, $partes['v1'] ?? '');
}