无法验证webhook节点。js公司

Question

我正在尝试使用Node验证Patreon的webhook签名。js。这是我的代码：

const crypto = require("crypto");

...

function validateJsonWebhook(request) {
  const secret = SECRET_KEY_GIVEN_BY_PATREON;

  const hash = crypto.createHmac("md5", secret)
      .update(JSON.stringify(request.body))
      .digest("hex");

  if (request.header("x-patreon-signature") === hash) {
    return true;
  } else {
    return false;
  }
}

Patreon webhooks使用MD5-请参阅https://docs.patreon.com/#webhooks.

我已经多次验证了密钥，所以我知道这不是问题。

“request.header（“x-patreon-signature”）”和“hash”都返回了正确的格式（即它们都是32位字母数字的组合），但它们并不匹配。

知道发生什么事了吗？

Answer 1

所以@gaiazov的评论让我在Google上搜索了一下，这让我找到了Stripe verify web钩子签名HMAC sha254 HAPI上的前两条评论。卡尔·里德的jshttps://github.com/stripe/stripe-node/issues/331#issuecomment-314917167.

对于将来发现这一点的任何人：不要使用JSON。stringify（request.body）-使用request。取而代之的是rawBody，因为签名是基于原始JSON计算的。我觉得Patreon的文档中应该强调这一点，因为我发现的所有示例都使用了我最初发布的代码。我的新工作代码如下（我清理了末尾的“if（request.header（“x-patreon-signature”）===散列）”部分）：

const crypto = require("crypto");

...

function validateJsonWebhook(request) {
  // Secret key given by Patreon.
  const secret = patreonSecret;

  const hash = crypto.createHmac("md5", secret)
      .update(request.rawBody)
      .digest("hex");

  return (request.header("x-patreon-signature") === hash);
}