如何验证X-PLIVO-SIGNATURE

Question

我们正在使用plivo发送/接收SMS消息。我们配置了一个网络钩子来接收客户发送的消息。我们想验证请求是否实际上来自plivo。有人能告诉我如何使用我们拥有的身份验证令牌进行验证吗？

Answer 1

这有点棘手。Plivo文档中存在错误。或者，您可以将其视为其实现中的一个bug。

如果您正在使用Ruby，您需要的代码，如留档所述：

Base64.encode64(OpenSSL::HMAC.digest("SHA256", "AUTH_TOKEN", "YOUR_CALLBACK_URL/REQUEST_HEADER_X-Plivo-Signature-V2-Nonce"))

但是，这永远不会奏效。你永远不会得到与x-plivo-signature-v2匹配的哈希，对吗？我还尝试使用身份验证密钥，而不是身份验证令牌。以及这些领域的每一个组合。

要使其工作，您必须将代码更改为此版本：

Base64.encode64(OpenSSL::HMAC.digest("SHA256", "AUTH_TOKEN", "YOUR_CALLBACK_URLREQUEST_HEADER_X-Plivo-Signature-V2-Nonce"))

你注意到区别了吗？是的！在回调URL和X-Plivo-Signature-V2-Nonce之间删除斜杠。

我在Plivo SDK（4.3.2）的当前实现中进行了验证

顺便说一下，如果你不确定在哪里可以找到你的AUTH_TOKEN和YOUR_CALLBACK_URL

Answer 2

这里的Plivo文档有一节介绍了如何验证传入webhook请求的签名（它使用HMAC）。