Next.js (App Router, Vercel) nhận chuyển khoản tự xác nhận

import { NextResponse } from 'next/server';
import crypto from 'crypto';

export async function POST(req: Request) {
  try {
    const rawBody = await req.text();
    const timestamp = req.headers.get('x-mona-timestamp') || '';
    const signature = req.headers.get('x-mona-signature') || ''; // Header gốc: X-Mona-Signature, dạng "sha256=<hex>"
    const secret = process.env.MONA_WEBHOOK_SECRET || '';

    // 1. Chặn replay: timestamp lệch quá 5 phút thì từ chối
    if (Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
      return NextResponse.json({ error: 'timestamp qua han' }, { status: 400 });
    }

    // 2. Verify chữ ký: HMAC-SHA256(secret, "<timestamp>.<raw_body>")
    const expected = 'sha256=' + crypto
      .createHmac('sha256', secret)
      .update(timestamp + '.' + rawBody)
      .digest('hex');
      
    const isValid = signature.length === expected.length &&
      crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));

    if (!isValid) {
      return NextResponse.json({ error: 'sai chu ky' }, { status: 401 });
    }

    const data = JSON.parse(rawBody);

    // TODO: Chống trùng lặp (ví dụ với Prisma: Prisma.giao_dich.upsert hoặc create unique)
    // TODO: Khớp đơn hàng theo data.account_number hoặc data.description

    // 3. Trả về 200 ngay trong vòng 10 giây
    return NextResponse.json({ ok: true }, { status: 200 });

  } catch (error) {
    return NextResponse.json({ error: 'loi server' }, { status: 500 });
  }
}

cloudflared tunnel --url http://localhost:3000

curl -X POST https://api.monapay.vn/api/v1/sandbox/transactions \
  -H "Authorization: Bearer $MONA_TOKEN" \
  -H "X-Client-Secret: $MONA_SECRET" \
  -H 'Content-Type: application/json' \
  -d '{"amount":250000,"description":"Thanh toan DH10234"}'