如何验证Patreon的网络钩子消息？

Question

来自Patreon文档：

消息签名是消息体HMAC的十六进制摘要，HMAC使用webhooks页面上可查看的webhook的秘密进行签名（使用MD5）。您可以使用此项验证我们是否是邮件的发件人。

这就是我尝试验证Express服务器中的消息的方式：

js prettyprint-override">import express from 'express';
import CryptoJS from 'crypto-js';
const router = express();

router.post('/webhook', function (req, res) {
  const secret = 'Secret from https://www.patreon.com/portal/registration/register-webhooks';

  console.log(CryptoJS.HmacMD5(req.body, secret).toString(CryptoJS.enc.Hex))

  console.log(CryptoJS.HmacMD5(JSON.stringify(req.body), secret).toString(CryptoJS.enc.Hex))

  const wordArray = CryptoJS.enc.Utf8.parse(req.body)
  const hexString = CryptoJS.enc.Hex.stringify(wordArray);
  console.log(CryptoJS.HmacMD5(hexString, secret).toString(CryptoJS.enc.Hex))

  res.send();
});

但我记录的所有这些结果与我从标题中获得的X-Patreon-Signature值不同。

Answer 1

首先确保您的秘密在代码中是正确的，然后继续创建一个使用加密来散列有效负载的新文件。

我从使用功能ComputeHash制作散列模块文件开始。此函数为参数获取秘密和有效负载：

const crypto = require('crypto');

/**
 * @return {string}
 */
exports.ComputeHash = function (secret, payload)
{
    // string to be hashed
    const str = JSON.stringify(payload);

    // create a md5 hasher
    const md5Hasher = crypto.createHmac("md5", secret);

    // hash the string
    // and set the output format
    const hash = md5Hasher.update(str).digest("hex");

    return(hash);
};

现在，在API文件中使用patreon应该如何实现：

注意：为了验证，您必须比较签名和哈希变量。如果两者相等，则进行验证。

我建议使用中间件来实现它，但出于演示目的，我这样做了。

const Hasher = require('./../modules/Hasher');

//more code

.post('/', async (req, res) => {

try {
    const secret = config.token;
    const signature = req.headers["x-patreon-signature"];
    const Hash = Hasher.ComputeHash(secret, req.body);

    console.log(signature);
    console.log(Hash);

    const verified = (signature === Hash);

} catch (e) {
    res.status(401);
    res.end();
    
}
// more code