Site tĩnh Astro/Hugo + serverless

import crypto from 'crypto';

export const config = {
  api: {
    bodyParser: false, // Bắt buộc tắt bodyParser để lấy raw body nguyên vẹn dùng cho xác minh chữ ký
  },
};

export default async function handler(req, res) {
  if (req.method !== 'POST') {
    return res.status(405).json({ message: 'Method Not Allowed' });
  }

  // 1. Đọc raw body từ request theo từng chunk
  const chunks = [];
  for await (const chunk of req) {
    chunks.push(typeof chunk === 'string' ? Buffer.from(chunk) : chunk);
  }
  const rawBody = Buffer.concat(chunks).toString('utf8');

  // 2. Lấy thông tin header chữ ký
  const signatureHeader = req.headers['x-mona-signature']; // header gốc gửi lên là X-Mona-Signature, dạng: sha256=<hex> (Node tự lowercase key)
  const timestamp = req.headers['x-mona-timestamp'];

  if (!signatureHeader || !timestamp) {
    return res.status(400).json({ message: 'Missing signature headers' });
  }

  // 3. Tính toán và xác minh chữ ký HMAC-SHA256
  // LƯU Ý: Dùng SECRET HMAC của cấu hình webhook, KHÔNG phải client_secret
  const webhookSecret = process.env.MONAPAY_WEBHOOK_SECRET; 
  const payloadToSign = `${timestamp}.${rawBody}`;
  
  const expectedSignature = crypto
    .createHmac('sha256', webhookSecret)
    .update(payloadToSign)
    .digest('hex');

  const actualSignature = signatureHeader.replace('sha256=', '');

  if (expectedSignature !== actualSignature) {
    return res.status(401).json({ message: 'Invalid signature' });
  }

  // 4. Kiểm tra thời gian lệch để chống replay attack (tối đa 300 giây)
  const now = Math.floor(Date.now() / 1000);
  if (now - parseInt(timestamp, 10) > 300) {
    return res.status(400).json({ message: 'Request expired' });
  }

  // 5. Xử lý payload webhook phẳng 7 trường
  const event = JSON.parse(rawBody);
  const { amount, description, transfer_date, transaction_code, account_number, bank_name, type } = event;

  // Sử dụng transaction_code làm khóa chống trùng lặp (Idempotency)
  console.log(`Nhận ${amount} VND từ tài khoản ${account_number} (${bank_name}). Mã đơn: ${description}`);

  // Quan trọng: Phản hồi ngay HTTP 200/201/202 trong 10 giây để MONA Pay không gửi lại sự kiện
  return res.status(200).json({ status: 'ok' });
}

# Gửi giả lập một dòng tiền vào tới webhook đang chạy (ví dụ qua ngrok hoặc Vercel dev URL)
curl -X POST https://api.monapay.vn/api/v1/sandbox/transactions \
  -H "Authorization: Bearer $TOKEN" \
  -H "X-Client-Secret: $CLIENT_SECRET" \
  -H "Content-Type: application/json" \
  -d '{
    "account_number": "123456789",
    "amount": 500000,
    "description": "Thanh toan don hang #1001",
    "bank_name": "ACB"
  }'