Быстрый старт

import { createHmac, timingSafeEqual } from "node:crypto";
 
const WEBHOOK_SECRET = process.env.INFRAIO_WEBHOOK_SECRET!; // whsec_…
 
export async function POST(req: Request) {
  const raw = await req.text();                    // СЫРЫЕ байты, не распарсенные
  const signature = req.headers.get("x-signature") ?? "";
  const timestamp = req.headers.get("x-timestamp") ?? "";
 
  // Подпись над `${timestamp}.${raw}` — НЕ над телом отдельно.
  const expected = "sha256=" + createHmac("sha256", WEBHOOK_SECRET)
    .update(`${timestamp}.${raw}`)
    .digest("hex");
 
  const a = Buffer.from(signature);
  const b = Buffer.from(expected);
  if (a.length !== b.length || !timingSafeEqual(a, b)) {
    return new Response("bad signature", { status: 400 });
  }
 
  // HTTP-тело ЕСТЬ объект данных конкретного события (без Stripe-стиля
  // внешнего конверта). Тип события + delivery ID + timestamp живут в заголовках.
  const eventType = req.headers.get("x-event") ?? "";        // напр. "payment.settled"
  const deliveryId = req.headers.get("idempotency-key")      // зеркалит X-Delivery
                   ?? req.headers.get("x-delivery") ?? "";
 
  const payload = JSON.parse(raw);
  switch (eventType) {
    case "payment.settled": {
      // Payload несёт order_id, payment_intent_id, tx_hash,
      // amount_received, confirmations, settlement-токен + сеть и т. д.
      // Он НЕ включает ваш `external_ref` из заказа — ищите его
      // на сервере через order_id, если нужен mapping назад.
      const { order_id, tx_hash, amount_received, confirmations } = payload;
 
      // Идемпотентно отметьте заказ оплаченным. Используйте deliveryId (X-Delivery)
      // как ключ дедупликации — он стабилен между всеми повторами одной доставки.
      // Мы повторяем до 6 раз (1м / 5м / 15м / 1ч / 6ч) на non-2xx.
      break;
    }
    case "checkout.expired": { /* TTL сессии истёк — освободите инвентарь */ break; }
    case "payment.refund.requested": { /* всплыть в очереди админа */ break; }
    default:
      // Forward-compat: мы можем добавлять события. Принимайте и no-op.
  }
  return new Response("ok", { status: 200 });
}