Nền tảng nhiều shop, mỗi shop nhận tiền vào tài khoản riêng

// Hàm lấy cấu hình đã mã hóa của shop từ DB
async function getShopConfig(shopId) {
    return {
        clientId: 'CLIENT_ID_CUA_SHOP',
        clientSecret: 'CLIENT_SECRET_CUA_SHOP' // Đã giải mã trên server
    };
}

// Đổi client_id + client_secret của shop lấy access token (hết hạn theo expires_in, nên cache lại)
async function getShopAccessToken(shopConfig) {
    const res = await fetch('https://api.monapay.vn/api/v1/oauth/token', {
        method: 'POST',
        headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
        body: `grant_type=client_credentials&client_id=${shopConfig.clientId}&client_secret=${shopConfig.clientSecret}`
    });
    const json = await res.json();
    return json.data.access_token;
}

async function createShopCheckout(shopId, orderInfo) {
    const shopConfig = await getShopConfig(shopId);
    const accessToken = await getShopAccessToken(shopConfig);
    
    const response = await fetch('https://api.monapay.vn/api/v1/checkouts', {
        method: 'POST',
        headers: {
            'Content-Type': 'application/json',
            'Authorization': `Bearer ${accessToken}`,
            'X-Client-Secret': shopConfig.clientSecret
        },
        body: JSON.stringify({
            amount: orderInfo.amount,
            description: orderInfo.description,
            order_code: orderInfo.orderCode
        })
    });
    
    return await response.json();
}

curl -X POST https://api.monapay.vn/api/v1/checkouts \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-Client-Secret: CLIENT_SECRET_CUA_SHOP" \
  -d '{
    "amount": 50000,
    "description": "Thanh toan don hang",
    "order_code": "DH123"
  }'

const crypto = require('crypto');

app.post('/webhook/monapay/:shopId', express.raw({ type: 'application/json' }), async (req, res) => {
  const shopConfig = await getShopConfig(req.params.shopId);
  const timestamp = req.header('X-Mona-Timestamp') || '';
  const signature = req.header('X-Mona-Signature') || ''; // dạng "sha256="
  const rawBody = req.body.toString('utf8');

  // Chặn replay: timestamp lệch quá 5 phút thì từ chối
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return res.status(400).send('timestamp qua han');
  }

  // Verify chữ ký bằng webhook_secret riêng của shop đó
  const expected = 'sha256=' + crypto
    .createHmac('sha256', shopConfig.webhookSecret)
    .update(timestamp + '.' + rawBody)
    .digest('hex');
  const hopLe =
    signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!hopLe) return res.status(401).send('sai chu ky');

  res.status(200).send('OK');

  const payload = JSON.parse(rawBody);
  // Payload phẳng: amount, description, transfer_date, transaction_code, account_number, bank_name, type
  // Chống trùng giao dịch bằng payload.transaction_code, gắn về đúng shopId
});