Flutter / React Native: thu tiền dịch vụ trong app bằng chuyển khoản

// Backend Node.js gọi MONA Pay tạo checkout
const response = await fetch('https://api.monapay.vn/api/v1/checkouts', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': `Bearer ${TOKEN}`,
    'X-Client-Secret': process.env.MONAPAY_CLIENT_SECRET
  },
  body: JSON.stringify({
    amount: 150000,
    order_code: "APP-ORDER-01",
    description: "Thanh toan dich vu app",
    return_url: "myapp://payment-success"
  })
});
const data = await response.json();
// Trả URL checkout và order_code về cho app

// App Flutter mở checkout_url
import 'package:url_launcher/url_launcher.dart';

Future<void> payWithMonaPay(String checkoutUrl) async {
  final Uri url = Uri.parse(checkoutUrl);
  if (await canLaunchUrl(url)) {
    await launchUrl(url, mode: LaunchMode.externalApplication);
    // Bắt đầu gọi API poll kết quả về backend nội bộ của bạn
  }
}

// Backend Node.js nhận webhook từ MONA Pay
app.post('/webhook', express.raw({ type: 'application/json' }), (req, res) => {
  const signature = req.headers['x-mona-signature']; // Header gốc: X-Mona-Signature, dạng sha256=<hex>
  const timestamp = req.headers['x-mona-timestamp']; // Header gốc: X-Mona-Timestamp
  const rawBody = req.body.toString('utf8');

  // 1. Chặn replay: timestamp lệch quá 300 giây thì từ chối
  if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return res.status(400).send('Webhook quá hạn');
  }

  // 2. Verify chữ ký bằng so sánh an toàn (chống timing attack)
  const expectedSig = 'sha256=' + crypto.createHmac('sha256', process.env.WEBHOOK_SECRET)
                            .update(`${timestamp}.${rawBody}`)
                            .digest('hex');
  const hopLe = signature.length === expectedSig.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expectedSig));
  if (!hopLe) {
    return res.status(401).send('Invalid signature');
  }

  const payload = JSON.parse(rawBody);
  // Payload nhận được phẳng, đối chiếu với CSDL, chống trùng bằng payload.transaction_code
  if (payload.type === 'CHECKOUT_PAID') {
    // Cập nhật đơn APP-ORDER-01 thành đã thanh toán
  }
  res.status(200).send({ status: 'ok' }); // Phản hồi 200 trong vòng 10 giây
});

curl -X POST https://api.monapay.vn/api/v1/sandbox/transactions \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $TOKEN" \
-H "X-Client-Secret: $CLIENT_SECRET" \
-d '{
  "amount": 150000,
  "description": "APP-ORDER-01",
  "account_number": "123456789"
}'