Cá nhân, hộ kinh doanh chưa có công ty: nhận tiền tự động vào tài khoản cá nhân được không

curl -X POST https://api.monapay.vn/api/v1/checkouts \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-Client-Secret: $CLIENT_SECRET" \
  -H "Content-Type: application/json" \
  -d '{
    "amount": 150000,
    "order_code": "DONHANG_123",
    "description": "Thanh toan don hang 123"
  }'

const express = require('express');
const crypto = require('crypto');
const app = express();

const WEBHOOK_SECRET = process.env.WEBHOOK_SECRET; // Secret HMAC đặt khi bật HMAC trong dashboard

// Phải đọc RAW body thì chữ ký mới khớp (đừng dùng express.json() ở route này)
app.post('/api/webhook', express.raw({ type: 'application/json' }), (req, res) => {
  const timestamp = req.header('X-Mona-Timestamp') || '';
  const signature = req.header('X-Mona-Signature') || ''; // dạng "sha256="
  const rawBody = req.body.toString('utf8');

  // 1. Chặn replay: timestamp lệch quá 5 phút thì từ chối
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return res.status(400).send('timestamp qua han');
  }

  // 2. Verify chữ ký: HMAC-SHA256(secret, ".")
  const expected = 'sha256=' + crypto
    .createHmac('sha256', WEBHOOK_SECRET)
    .update(timestamp + '.' + rawBody)
    .digest('hex');
  const hopLe =
    signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!hopLe) return res.status(401).send('sai chu ky');

  // 3. Trả 200 ngay trong 10 giây, việc nặng xử lý sau
  res.status(200).send('ok');

  const payload = JSON.parse(rawBody);
  // Payload phẳng: amount, description, transfer_date, transaction_code, account_number, bank_name, type
  // Chống trùng giao dịch bằng payload.transaction_code
  console.log('Đã nhận tiền:', payload.amount);
});

app.listen(3000);