Cổng thanh toán WooCommerce:
khách chuyển khoản, đơn tự xác nhận

<?php
// mona-pay-webhook.php: bỏ vào wp-content/mu-plugins/ (hoặc functions.php của child theme)
// Tạo endpoint https://shop-cua-anh-chi.vn/wp-json/monapay/v1/webhook để MONA Pay gọi vào
add_action('rest_api_init', function () {
    register_rest_route('monapay/v1', '/webhook', [
        'methods'             => 'POST',
        'callback'            => 'monapay_nhan_webhook',
        'permission_callback' => '__return_true', // tự xác thực bằng HMAC bên dưới
    ]);
});

function monapay_nhan_webhook(WP_REST_Request $req) {
    $secret    = defined('MONA_WEBHOOK_SECRET') ? MONA_WEBHOOK_SECRET : ''; // khai báo trong wp-config.php
    $raw       = $req->get_body();
    $timestamp = $req->get_header('X-Mona-Timestamp') ?: '';
    $signature = $req->get_header('X-Mona-Signature') ?: ''; // dạng "sha256=<hex>"

    // 1. Chặn replay: timestamp lệch quá 5 phút thì từ chối
    if (abs(time() - (int) $timestamp) > 300) {
        return new WP_REST_Response(['success' => false, 'message' => 'timestamp qua han'], 400);
    }

    // 2. Kiểm chữ ký: HMAC-SHA256(secret, "<timestamp>.<raw_body>")
    $expected = 'sha256=' . hash_hmac('sha256', $timestamp . '.' . $raw, $secret);
    if (!hash_equals($expected, $signature)) {
        return new WP_REST_Response(['success' => false, 'message' => 'sai chu ky'], 401);
    }

    $data = json_decode($raw, true);

    // 3. Chống trùng: transaction_code không đổi qua mọi lần gửi lại
    if (get_option('monapay_tx_' . $data['transaction_code'])) {
        return new WP_REST_Response(['success' => true, 'message' => 'da xu ly'], 200);
    }

    // 4. Tìm đơn: nội dung chuyển khoản chứa "DH" + mã đơn (ví dụ "DH1234")
    if (preg_match('/DH\s?(\d+)/i', (string) $data['description'], $m)) {
        $order = wc_get_order((int) $m[1]);
        if ($order && !$order->is_paid() && (int) $order->get_total() <= (int) $data['amount']) {
            $order->payment_complete($data['transaction_code']); // đơn sang "Đang xử lý"/"Hoàn thành"
            $order->add_order_note(sprintf(
                'MONA Pay: nhận %s đ từ ACB, mã giao dịch %s',
                number_format((int) $data['amount'], 0, ',', '.'),
                $data['transaction_code']
            ));
            add_option('monapay_tx_' . $data['transaction_code'], time(), '', 'no');
        }
    }

    // 5. Trả 200 ngay để MONA Pay ghi nhận thành công
    return new WP_REST_Response(['success' => true], 200);
}

# Giả lập MONA Pay bắn webhook vào shop để test ngay trên máy
SECRET='secret_hmac_dat_trong_dashboard'
URL='https://shop-cua-anh-chi.vn/wp-json/monapay/v1/webhook'
TS=$(date +%s)
BODY='{"amount":2500000,"description":"DH1234 thanh toan","transfer_date":"10:30:00 28/08/2026","transaction_code":"FT26240001234","account_number":"1234567890","bank_name":"ACB","type":"income"}'

# Chữ ký = HMAC-SHA256(secret, "<timestamp>.<raw_body>")
SIG=$(printf '%s.%s' "$TS" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | awk '{print $2}')

curl -X POST "$URL" \
  -H 'Content-Type: application/json' \
  -H "X-Mona-Timestamp: $TS" \
  -H "X-Mona-Signature: sha256=$SIG" \
  --data "$BODY"
# Kỳ vọng: {"success":true} và đơn #1234 trong WooCommerce đổi trạng thái

// monapay-woo.js: nhận webhook MONA Pay rồi cập nhật đơn qua WooCommerce REST API
// Dùng khi anh chị chạy 1 dịch vụ Node riêng, không muốn đụng code PHP của web
const express = require('express');
const crypto  = require('crypto');

const app     = express();
const SECRET  = process.env.MONA_WEBHOOK_SECRET;   // secret HMAC đặt trong dashboard MONA Pay
const WC_URL  = 'https://shop-cua-anh-chi.vn/wp-json/wc/v3';
const WC_AUTH = 'Basic ' + Buffer.from(process.env.WC_KEY + ':' + process.env.WC_SECRET).toString('base64');

app.post('/webhook/monapay', express.raw({ type: 'application/json' }), async (req, res) => {
  const timestamp = req.header('X-Mona-Timestamp') || '';
  const signature = req.header('X-Mona-Signature') || '';
  const rawBody   = req.body.toString('utf8');

  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) return res.status(400).send('timestamp qua han');

  const expected = 'sha256=' + crypto.createHmac('sha256', SECRET).update(timestamp + '.' + rawBody).digest('hex');
  const hopLe = signature.length === expected.length && crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!hopLe) return res.status(401).send('sai chu ky');

  res.status(200).json({ success: true }); // trả 200 trước, xử lý đơn sau

  const data = JSON.parse(rawBody);
  const m = /DH\s?(\d+)/i.exec(data.description || '');
  if (!m) return;
  await fetch(WC_URL + '/orders/' + m[1], {
    method: 'PUT',
    headers: { 'Content-Type': 'application/json', Authorization: WC_AUTH },
    body: JSON.stringify({ set_paid: true, transaction_id: data.transaction_code }),
  });
});

app.listen(3000, () => console.log('Webhook MONA Pay cho WooCommerce chạy ở cổng 3000'));