Test webhook ở máy mình: ngrok, sandbox, gửi thử, đọc log

# Dùng MONA Pay CLI để forward webhook về localhost:3000
npx @monapay/cli webhook listen --port 3000 --path /api/webhooks/monapay

# Hoặc dùng ngrok
ngrok http 3000

const express = require('express');
const crypto = require('crypto');
const app = express();

const WEBHOOK_SECRET = 'secret_webhook_cua_ban';

app.post('/api/webhooks/monapay', express.raw({ type: 'application/json' }), (req, res) => {
  const signature = req.headers['x-mona-signature']; // header gốc gửi lên là X-Mona-Signature (Node tự lowercase key)
  const timestamp = req.headers['x-mona-timestamp'];
  const rawBody = req.body.toString('utf8');

  // Verify HMAC-SHA256
  const hmac = crypto.createHmac('sha256', WEBHOOK_SECRET);
  hmac.update(`${timestamp}.${rawBody}`);
  const expectedSignature = `sha256=${hmac.digest('hex')}`;

  if (signature !== expectedSignature) {
    return res.status(401).send('Invalid signature');
  }

  // Parse body phẳng
  const data = JSON.parse(rawBody);
  console.log('Nhận webhook thành công:', data);
  // data gồm: amount, description, transfer_date, transaction_code, account_number, bank_name, type

  // Xử lý chống trùng lặp bằng transaction_code ở đây...

  // Trả về 200 trong vòng 10s
  res.status(200).send('OK');
});

app.listen(3000, () => console.log('Server is running on port 3000'));

# 1. Gửi test webhook mẫu ngay lập tức
curl -X POST https://api.monapay.vn/client-webhooks/test \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -H "X-Client-Secret: YOUR_CLIENT_SECRET"

# 2. Hoặc tạo một giao dịch thật trong môi trường Sandbox
curl -X POST https://api.monapay.vn/api/v1/sandbox/transactions \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -H "X-Client-Secret: YOUR_CLIENT_SECRET" \
  -d '{
    "amount": 50000,
    "description": "Thanh toan don hang DH-1234",
    "account_number": "123456789",
    "bank_name": "ACB"
  }'

# 3. Kiểm tra log webhook xem có lỗi không
curl -X GET https://api.monapay.vn/webhook-logs \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -H "X-Client-Secret: YOUR_CLIENT_SECRET"