如何在 nodejs 中创建签名的 webhook 请求？

Question

我有 2 个 nodejs 微服务（我们称它们为服务 x 和服务 y）。在服务 x 中，我将向服务 y 发出 POST 请求。

假设服务 x 将在服务 y 中的这个 HTTPs 端点发布：/order/orderId

我认为服务 x 是 webhook 生产者，服务 y 是 webhook 消费者。

我希望服务 y 能够确保消息来自服务 x，而不是来自任何恶意来源。为此，我想在服务 x 向服务 y 发出 POST 请求之前签署请求。

我有哪些选项可以签署这些请求？如何在服务 x 中签署这些请求，以及如何在服务 y 中验证这些请求？我还有哪些签名/加密选项？

nodejs 中的具体代码示例会有很大帮助。

Answer 1

您可以在两个服务之间独家使用密钥，并使用它来签署请求。

在发件人（服务 x）中：

• 为 HTTP POST 请求附加一个自定义标头 x-webhook-signature，这将是使用密钥生成的 sha256 HMAC：

function createHmacSignature(req) {
  return require("crypto")
    .createHmac("sha256", secretKey)
    .update(JSON.stringify(req.body))
    .digest("hex");
}

在接收器中（服务 y）：

• 获取签名头：

req.headers["x-webhook-signature"]

• 使用密钥，如上再次创建HMAC。
• 将结果字符串与x-webhook-signature 标头进行比较，如果它们匹配，则请求来源将是预期的。

function compareSignatures (signature, comparison_signature) {
  const source = Buffer.from(signature);
  const comparison = Buffer.from(comparison_signature);
  return require("crypto").timingSafeEqual(source, comparison);
}

当然，可以做额外的验证和增强，这是保证只有服务x可以发送请求的正常流程。