System Design · Senior · Frage 34 von 75
Wie prüft man die Echtheit eines eingehenden Webhooks?
- 1HMAC-Signatur und Zeitstempel prüfen
- 2Prüfen, dass der Body ein Feld
verified: trueenthält - 3Prüfen, dass die Anfrage per POST kam
Antwort zeigen
Richtige Antwort: HMAC-Signatur und Zeitstempel prüfen
Erklärung
Der Webhook-Endpunkt ist öffentlich; jeder kann ihn aufrufen. Der Anbieter signiert den Body mit einem Geheimnis, und du prüfst die Signatur (über den rohen Body) und die Zeit, um Wiederholungen abzulehnen. Alles andere lässt sich leicht fälschen.