Plugin tự động xác nhận thanh toán chuyển khoản cho WordPress

<?php
// mona-pay-webhook.php: bỏ vào wp-content/mu-plugins/
// Nhận webhook MONA Pay, kiểm chữ ký, rồi phát sự kiện 'monapay_tien_vao' cho phần còn lại của web dùng
add_action('rest_api_init', function () {
    register_rest_route('monapay/v1', '/webhook', [
        'methods'             => 'POST',
        'callback'            => 'monapay_nhan_webhook',
        'permission_callback' => '__return_true', // tự xác thực bằng HMAC bên dưới
    ]);
});

function monapay_nhan_webhook(WP_REST_Request $req) {
    $secret    = defined('MONA_WEBHOOK_SECRET') ? MONA_WEBHOOK_SECRET : ''; // khai báo trong wp-config.php
    $raw       = $req->get_body();
    $timestamp = $req->get_header('X-Mona-Timestamp') ?: '';
    $signature = $req->get_header('X-Mona-Signature') ?: '';

    // 1. Chặn replay: lệch quá 5 phút thì từ chối
    if (abs(time() - (int) $timestamp) > 300) {
        return new WP_REST_Response(['success' => false, 'message' => 'timestamp qua han'], 400);
    }
    // 2. Kiểm chữ ký HMAC-SHA256(secret, "<timestamp>.<raw_body>")
    $expected = 'sha256=' . hash_hmac('sha256', $timestamp . '.' . $raw, $secret);
    if (!hash_equals($expected, $signature)) {
        return new WP_REST_Response(['success' => false, 'message' => 'sai chu ky'], 401);
    }

    $data = json_decode($raw, true);

    // 3. Chống trùng bằng transaction_code (không đổi qua mọi lần gửi lại)
    $key = 'monapay_tx_' . sanitize_key($data['transaction_code']);
    if (get_option($key)) {
        return new WP_REST_Response(['success' => true, 'message' => 'da xu ly'], 200);
    }
    add_option($key, wp_json_encode($data), '', 'no');

    // 4. Phát sự kiện: phần nào của web cần biết "có tiền vào" thì bắt sự kiện này
    do_action('monapay_tien_vao', $data);

    return new WP_REST_Response(['success' => true], 200);
}

// Ví dụ: web bán khoá học, nội dung chuyển khoản "HV88" = học viên có ID 88 → mở khoá
add_action('monapay_tien_vao', function ($data) {
    if (preg_match('/HV\s?(\d+)/i', (string) $data['description'], $m) && (int) $data['amount'] >= 1990000) {
        update_user_meta((int) $m[1], 'da_thanh_toan', current_time('mysql'));
        wp_mail(get_userdata((int) $m[1])->user_email, 'Đã nhận học phí', 'Khoá học của bạn đã mở, vào học ngay.');
    }
});

# Giả lập MONA Pay gọi vào web WordPress để test tại chỗ
SECRET='secret_hmac_dat_trong_dashboard'
URL='https://web-cua-anh-chi.vn/wp-json/monapay/v1/webhook'
TS=$(date +%s)
BODY='{"amount":1990000,"description":"HV88 hoc phi","transfer_date":"10:30:00 28/08/2026","transaction_code":"FT26240001234","account_number":"1234567890","bank_name":"ACB","type":"income"}'

SIG=$(printf '%s.%s' "$TS" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | awk '{print $2}')

curl -X POST "$URL" \
  -H 'Content-Type: application/json' \
  -H "X-Mona-Timestamp: $TS" \
  -H "X-Mona-Signature: sha256=$SIG" \
  --data "$BODY"
# Kỳ vọng: {"success":true}, gọi lần 2 cùng BODY → {"success":true,"message":"da xu ly"} (không xử lý trùng)

// monapay-wp.js: dịch vụ Node nhận webhook rồi gọi WordPress REST API cập nhật dữ liệu
const express = require('express');
const crypto  = require('crypto');

const app    = express();
const SECRET = process.env.MONA_WEBHOOK_SECRET; // secret HMAC trong dashboard MONA Pay
const WP_URL = 'https://web-cua-anh-chi.vn/wp-json/wp/v2';
const WP_AUTH = 'Basic ' + Buffer.from(process.env.WP_USER + ':' + process.env.WP_APP_PASSWORD).toString('base64'); // Application Password của WordPress

app.post('/webhook/monapay', express.raw({ type: 'application/json' }), async (req, res) => {
  const timestamp = req.header('X-Mona-Timestamp') || '';
  const signature = req.header('X-Mona-Signature') || '';
  const rawBody   = req.body.toString('utf8');

  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) return res.status(400).send('timestamp qua han');
  const expected = 'sha256=' + crypto.createHmac('sha256', SECRET).update(timestamp + '.' + rawBody).digest('hex');
  const hopLe = signature.length === expected.length && crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!hopLe) return res.status(401).send('sai chu ky');

  res.status(200).json({ success: true }); // trả 200 trước, xử lý sau

  const data = JSON.parse(rawBody);
  const m = /HV\s?(\d+)/i.exec(data.description || '');
  if (!m) return;
  // Ghi meta cho user (cần plugin/đoạn code expose meta 'da_thanh_toan' qua REST)
  await fetch(WP_URL + '/users/' + m[1], {
    method: 'POST',
    headers: { 'Content-Type': 'application/json', Authorization: WP_AUTH },
    body: JSON.stringify({ meta: { da_thanh_toan: data.transfer_date } }),
  });
});

app.listen(3000, () => console.log('Webhook MONA Pay cho WordPress chạy ở cổng 3000'));