आउटगोइंग वेबहुक और एचएमएसी हस्ताक्षर

भेजे गए प्रत्येक वेबहुक में एक अद्वितीय ईवेंट पहचानकर्ता event_id होता है जो आपको अपने सर्वर पर इडेम्पोटेंट प्रोसेसिंग लागू करने की अनुमति देता है।

import crypto from 'node:crypto'
export function verifyAurabaseWebhook(
  rawBody: string, signatureHeader: string, secret: string)
  const parts = Object.fromEntries(
    signatureHeader.split(',').map(p => p.split('=')),
  )
  const { t: timestamp, v1: signature } = parts

  // 1. रीप्ले हमलों से सुरक्षा (अधिकतम 5 मिनट)
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return false
  }

  // 2. टाइमस्टैम्प.रॉबॉडी पर HMAC-SHA256 की गणना
  const expected = crypto
    .createHmac('sha256', secret)
    .update(timestamp + '.' + rawBody)
    .digest('hex')

  // 3. निरंतर समय में सुरक्षित तुलना
  return crypto.timingSafeEqual(
    Buffer.from(signature), Buffer.from(expected)
  )
}