Biała lista API i status kontrahentów w jednym zapytaniu

PHP

$sekret = getenv('DLUGIBIZ_SEKRET');
$tresc = file_get_contents('php://input');
$naglowek = $_SERVER['HTTP_X_PODPIS'] ?? '';

$ok = preg_match('/^t=(\d+),v1=([a-f0-9]{64})$/', $naglowek, $m) === 1
    && abs(time() - (int) $m[1]) <= 300
    && hash_equals(hash_hmac('sha256', $m[1] . '.' . $tresc, $sekret), $m[2]);

if ($ok === false) {
    http_response_code(400);
    exit;
}

$dane = json_decode($tresc, true);
foreach ($dane['zdarzenia'] as $z) {
    // na przykład wstrzymaj zamówienia kontrahenta $z['nip']
}
http_response_code(204);

Node.js

const crypto = require('crypto');
const express = require('express');
const app = express();

app.post('/dlugibiz', express.raw({ type: 'application/json' }), (req, res) => {
  const m = /^t=(\d+),v1=([a-f0-9]{64})$/.exec(req.get('X-Podpis') || '');
  const swiezy = m && Math.abs(Date.now() / 1000 - Number(m[1])) <= 300;
  const oczekiwany = m && crypto
    .createHmac('sha256', process.env.DLUGIBIZ_SEKRET)
    .update(m[1] + '.' + req.body)
    .digest();
  const ok = swiezy && crypto.timingSafeEqual(oczekiwany, Buffer.from(m[2], 'hex'));

  if (Boolean(ok) === false) return res.sendStatus(400);

  const { zdarzenia } = JSON.parse(req.body);
  zdarzenia.forEach((z) => { /* na przykład wstrzymaj zamówienia z.nip */ });
  res.sendStatus(204);
});