验证经典ASP中的条纹WebHook签名

Question

Stripe建议使用他们的库来验证签名，但因为他们没有一个可以与Classic一起使用的库，所以我不得不手动进行验证，我真的很难做到这一点。

(https://stripe.com/docs/webhooks/signatures#verify-（手动）

步骤1：从标头中提取时间戳和签名拆分标头，使用，字符作为分隔符，以获得元素列表。然后使用=字符作为分隔符拆分每个元素，以获得前缀和值对。前缀t的值对应于时间戳，v1对应于签名。您可以放弃所有其他元素。

步骤2：准备有符号的_有效负载字符串—通过将时间戳（作为字符串）与字符连接起来来实现这一点。实际的JSON负载（即请求的主体）

步骤3：确定预期的签名使用SHA256哈希函数计算HMAC。使用终结点的签名秘密作为密钥，并使用signed_payload字符串作为消息。

步骤4：比较签名将标头中的签名与预期的签名进行比较。如果签名匹配，计算当前时间戳和接收到的时间戳之间的差异，然后确定差异是否在您的容差范围内。为了防止定时攻击，使用常量时间字符串比较将预期签名与每个接收到的签名进行比较。

我认为我的代码是正确的：

'Keys     
If strStripeMode = "live" Then 
    strSigningSecret = ""
Else
    strSigningSecret = "whsec_CIXV2............................UR8Ta0" 
End if

'1. Payload
    lngBytesCount = Request.TotalBytes
    strPayload = BytesToStr(Request.BinaryRead(lngBytesCount))

'2. Stripe-Signature 
    strStripeSignature = Request.ServerVariables("HTTP_STRIPE_SIGNATURE")
    arrStripeSignature = Split(strStripeSignature,",")
    intTimeStamp = REPLACE(arrStripeSignature(0),"t=","")
    strV1Signature = REPLACE(arrStripeSignature(1),"v1=","")
    strSignedPayload = intTimeStamp & "." & strV1Signature & strPayload

'3. Hash using 'signing secret' as the key. 
    set crypt = Server.CreateObject("Chilkat_9_5_0.Crypt2")
    crypt.HashAlgorithm = "sha256"
    crypt.EncodingMode = "hex"
    crypt.SetHmacKeyEncoded strSigningSecret,"ascii"
    strHashedSignature = crypt.HmacStringENC(strSignedPayload)
    set crypt = nothing


'4. Compare the values
    If strHashedSignature = strV1Signature Then 
        'Valid
        Response.Status = "200"
        Response.Write(Response.Status)
        '------------ DO SOMETHING------------
        Response.End
    Else
        'Invalid
        Response.Status = "300" 
        Response.Write(Response.Status)
        '------------ DO SOMETHING------------
        Response.End                                    
    End if




' Bytes to String Function
Function BytesToStr(bytes)
    Dim Stream
    Set Stream = Server.CreateObject("Adodb.Stream")
        Stream.Type = 1 'adTypeBinary
        Stream.Open
        Stream.Write bytes
        Stream.Position = 0
        Stream.Type = 2 'adTypeText
        Stream.Charset = "iso-8859-1"
        BytesToStr = Stream.ReadText
        Stream.Close
    Set Stream = Nothing
End Function

我遇到的第一个问题是，我不确定在步骤2中是否正确生成了有符号的#u有效负载字符串。第二个问题是，步骤#3中的strHashedSignature显示为空白，可能是因为没有正确生成已签名的#有效负载字符串（strSignedPayload）。

Answer 1

我想我应该更新这个，以防将来有人遇到问题。解决方案是双重的。

首先，我在签名的_有效负载字符串上完全隔开，包括出于某种原因的v1Signature（我的借口是这是星期五的一天结束：）

strSignedPayload = intTimeStamp & "." & strV1Signature & strPayload

它只应该是：

strSignedPayload = intTimeStamp & "." & strPayload

第二个是@karllekko所说的，编码需要是UTF-8