Webhook-уведомления

const crypto = require('crypto');
const express = require('express');

const app = express();

// ВАЖНО: Используйте raw body parser для webhook endpoint
app.use('/webhooks/parallel', express.json({
  verify: (req, res, buf) => {
    // Сохраняем raw body для верификации подписи
    req.rawBody = buf.toString('utf8');
  }
}));

app.post('/webhooks/parallel', (req, res) => {
  const signature = req.headers['x-webhook-signature'];
  const event = req.headers['x-webhook-event'];

  // Ваш notificationToken , переданный при создании заявки
  const notificationToken = process.env.PARALLEL_NOTIFICATION_TOKEN;

  // Проверка подписи
  if (!verifySignature(req.rawBody, signature, notificationToken)) {
    console.error('Invalid webhook signature');
    return res.status(401).send('Invalid signature');
  }

  // Обработка события
  const payload = req.body;
  console.log(`Received ${event} for invoice ${payload.id}`);

  // Тип события — по статусу в теле запроса
  switch (payload.status) {
    case 'paid':
      handleInvoicePaid(payload);
      break;
    case 'expired':
      handleInvoiceExpired(payload);
      break;
    // ... другие статусы
  }

  // Важно: всегда возвращайте 200 для успешной обработки
  res.status(200).send('OK');
});

function verifySignature(payload, signature, secret) {
  const hmac = crypto.createHmac('sha256', secret);
  hmac.update(payload);
  const expectedSignature = hmac.digest('hex');

  // Используйте timing-safe сравнение для защиты от timing attacks
  try {
    return crypto.timingSafeEqual(
      Buffer.from(signature, 'hex'),
      Buffer.from(expectedSignature, 'hex')
    );
  } catch (err) {
    // Невалидный hex или разная длина
    return false;
  }
}

function handleInvoicePaid(invoice) {
  console.log(`Invoice ${invoice.id} paid: ${invoice.amount} ${invoice.currency}`);
  // Найдите заказ по invoice.internalId. Если он уже оплачен — это повторная доставка, ничего не делайте.
  // Иначе отметьте заказ как оплаченный, отправьте товар и т.д.
}

function handleInvoiceExpired(invoice) {
  console.log(`Invoice ${invoice.id} expired`);
  // Отметьте заказ как истекший
}

app.listen(3000, () => {
  console.log('Webhook server listening on port 3000');
});