Express / NestJS

const express = require('express');
const crypto = require('crypto');
const app = express();

// Webhook secret lấy tại my.monapay.vn (KHÔNG phải client_secret)
const WEBHOOK_SECRET = process.env.MONAPAY_WEBHOOK_SECRET;

app.post('/api/webhooks/monapay', express.raw({ type: 'application/json' }), (req, res) => {
  const timestamp = req.headers['x-mona-timestamp']; // Header gốc: X-Mona-Timestamp
  const signature = req.headers['x-mona-signature']; // Header gốc: X-Mona-Signature, dạng sha256=<hex>

  if (!timestamp || !signature) {
    return res.status(401).send('Thiếu header chữ ký');
  }

  // 1. Kiểm tra thời gian (chống trùng lặp/replay attack trong vòng 300 giây)
  const now = Math.floor(Date.now() / 1000);
  if (now - parseInt(timestamp) > 300) {
    return res.status(400).send('Webhook quá hạn');
  }

  // 2. Tính chữ ký từ raw body
  const rawBody = req.body.toString('utf8');
  const payloadToSign = `${timestamp}.${rawBody}`;
  const expectedSig = crypto
    .createHmac('sha256', WEBHOOK_SECRET)
    .update(payloadToSign)
    .digest('hex');

  if (`sha256=${expectedSig}` !== signature) {
    return res.status(401).send('Sai chữ ký');
  }

  // 3. Xử lý logic nghiệp vụ
  const data = JSON.parse(rawBody); // Payload gốc luôn phẳng (7 trường)
  console.log(`Đã nhận ${data.amount} VND, mã giao dịch: ${data.transaction_code}`);

  // 4. Trả về 200 OK trong vòng 10 giây
  res.status(200).send('ok');
});

app.listen(3000, () => console.log('Server đang chạy ở cổng 3000'));