Projektowanie API · Middle · Pytanie 39 z 75
Jak odbiorca webhooka powinien sprawdzić, że żądanie naprawdę pochodzi od dostawcy?
- 1Ufać każdemu żądaniu na tajny URL
- ✓Poprawna odpowiedź: Sprawdzić podpis HMAC nad surowym body i znacznikiem czasu ze wspólnym sekretem i odrzucać stare znaczniki
- 3Sprawdzić nagłówek
User-Agent
Wyjaśnienie
Licz podpis nad surowymi bajtami (przed parsowaniem JSON) i porównuj w stałym czasie. Standard Webhooks definiuje wspólny schemat.