const express = require("express");
const crypto = require("crypto");

const app = express();

// Guarda o corpo CRU (Buffer) para poder recalcular a assinatura.
app.use(
  express.json({
    verify: (req, res, buf) => {
      req.rawBody = buf;
    },
  })
);

const WEBHOOK_SECRET = process.env.GSENGAGE_WEBHOOK_SECRET;

function assinaturaConfere(rawBody, assinaturaRecebida) {
  // Recalcula HMAC SHA-256 sobre o corpo cru + o seu secret.
  const esperada = crypto
    .createHmac("sha256", WEBHOOK_SECRET)
    .update(rawBody)
    .digest("hex");

  const a = Buffer.from(esperada);
  const b = Buffer.from(assinaturaRecebida || "");

  // Comparação em tempo constante: evita vazar dicas pelo tempo de resposta.
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

app.post("/webhooks/gsengage", (req, res) => {
  // Substitua pelo nome exato do cabeçalho de assinatura da entrega.
  const assinaturaRecebida = req.get("<cabecalho-de-assinatura>");

  if (!assinaturaConfere(req.rawBody, assinaturaRecebida)) {
    // Não bateu: descarte sem processar.
    return res.status(401).send("assinatura inválida");
  }

  const evento = req.body;
  console.log("Entrega autêntica:", evento.event, evento.id);

  // Responda rápido; processe o resto em segundo plano se for pesado.
  res.status(200).send("ok");
});

app.listen(3000);

import hmac
import hashlib
import os
from flask import Flask, request

app = Flask(__name__)

WEBHOOK_SECRET = os.environ["GSENGAGE_WEBHOOK_SECRET"]

def assinatura_confere(raw_body: bytes, assinatura_recebida: str) -> bool:
    # Recalcula HMAC SHA-256 sobre o corpo cru + o seu secret.
    esperada = hmac.new(
        WEBHOOK_SECRET.encode("utf-8"),
        raw_body,
        hashlib.sha256,
    ).hexdigest()

    # Comparação em tempo constante: evita vazar dicas pelo tempo de resposta.
    return hmac.compare_digest(esperada, assinatura_recebida or "")

@app.post("/webhooks/gsengage")
def receber_webhook():
    raw_body = request.get_data()  # corpo CRU, em bytes

    # Substitua pelo nome exato do cabeçalho de assinatura da entrega.
    assinatura_recebida = request.headers.get("<cabecalho-de-assinatura>")

    if not assinatura_confere(raw_body, assinatura_recebida):
        # Não bateu: descarte sem processar.
        return "assinatura inválida", 401

    evento = request.get_json()
    print("Entrega autêntica:", evento["event"], evento["id"])

    # Responda rápido; processe o resto depois se for pesado.
    return "ok", 200