Безопасность и обработчик

import express from "express"import crypto from "crypto" const SIGNING_SECRET = "your_signing_secret" // Карточка бота → Исходящий вебхук → Signing secretconst app = express() // Важно: используем express.raw для получения сырого тела запроса (для корректной проверки HMAC)app.post("/webhook", express.raw({ type: "application/json" }), (req, res) => {  // 1. Проверка подписи HMAC-SHA256  const signature = crypto.createHmac("sha256", SIGNING_SECRET)    .update(req.body).digest("hex")  if (signature !== req.headers["pachca-signature"]) {    return res.status(401).send("Invalid signature")  }   // 2. Защита от replay-атак (±60 секунд)  const event = JSON.parse(req.body.toString())  if (Math.abs(Date.now() / 1000 - event.webhook_timestamp) > 60) {    return res.status(401).send("Expired event")  }   // 3. Обработка события по типу  switch (event.type) {    case "message":      if (event.event === "new") {        console.log(`Новое сообщение от ${event.user_id}: ${event.content}`)      } else if (event.event === "update") {        console.log(`Сообщение ${event.id} отредактировано`)      } else if (event.event === "delete") {        console.log(`Сообщение ${event.id} удалено`)      }      break    case "reaction":      console.log(`${event.event === "new" ? "Добавлена" : "Удалена"} реакция ${event.code}`)      break    case "button":      console.log(`Нажата кнопка: ${event.data}`)      // trigger_id доступен 3 секунды — используйте его для открытия формы      break    case "view":      if (event.event === "submit") {        console.log(`Форма заполнена:`, event.data)      }      break  }   res.status(200).send("OK")})app.listen(3000)

import hmac, hashlib, json, timefrom flask import Flask, request, abort SIGNING_SECRET = "your_signing_secret"  # Карточка бота → Исходящий вебхук → Signing secretapp = Flask(__name__) @app.route("/webhook", methods=["POST"])def webhook():    raw_body = request.get_data()     # 1. Проверка подписи HMAC-SHA256    expected = hmac.new(SIGNING_SECRET.encode(), raw_body, hashlib.sha256).hexdigest()    if expected != request.headers.get("Pachca-Signature"):        abort(401)     # 2. Защита от replay-атак (±60 секунд)    event = json.loads(raw_body)    if abs(time.time() - event["webhook_timestamp"]) > 60:        abort(401)     # 3. Обработка события    if event["type"] == "message" and event["event"] == "new":        print(f"Новое сообщение от {event['user_id']}: {event['content']}")    elif event["type"] == "button":        print(f"Нажата кнопка: {event['data']}")    elif event["type"] == "view" and event["event"] == "submit":        print(f"Форма заполнена: {event['data']}")     return "OK", 200

// Дедупликация по уникальным полям событияconst processed = new Set<string>() function getEventKey(event: any): string {  // Уникальный ключ: тип + событие + id объекта  return `${event.type}:${event.event}:${event.id || event.message_id || ""}`} app.post("/webhook", express.raw({ type: "application/json" }), (req, res) => {  // ... проверка подписи ...  const event = JSON.parse(req.body.toString())  const key = getEventKey(event)  if (processed.has(key)) {    return res.status(200).send("Already processed")  }  processed.add(key)  processEvent(event) // Ваша логика обработки  res.status(200).send("OK")})