保护Smooch Webhooks

Question

我使用smooch whatsapp集成和smooch webhook在whatsapp中创建一个机器人。

我想验证来自我的网络挂钩的帖子。

我在文档中看到，标头x-api-key中有一个变量，应该完全用于该变量：

我找不到有关如何使用此变量的任何解释。我意识到它包含webhook的秘密密钥。但是还有什么呢？

如何从 data / body 创建另一个签名以检查其是否与标头中发送的签名匹配？

Answer 1

我以前没有使用过Smooch webhooks，但是我阅读他们的文档使我相信以下几点：

• X-Api-Key不是用于对有效负载进行签名的常用Webhook签名。实际上，这只是每个事件的Webhook POST请求中返回的简单秘密。
• 当您create the webhook并在secret字段中返回时，机密会自动生成。
• 您还可以使用GET webhook端点来获取机密。其他方法似乎也可以返回秘密。
• 以某种方式保存机密，然后只需在每个Webhook事件请求上比较机密的X-Api-Key标头值，即可验证其真实性。
• 您可以在需要时通过编程方式删除并重新创建Webhook来旋转机密。