웹훅

{
  "eventId": "8c1f0b9e-4d2a-4c7b-9f1e-2a6d8e5c3b71",
  "eventType": "notification.delivered",
  "workspaceId": "11111111-2222-3333-4444-555555555555",
  "notificationRequestId": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "delivered",
  "occurredAt": "2026-07-10T12:00:00.000Z",
  "payload": {
    "provider": "solapi_sms",
    "externalEventId": "MSG-20260710-0001"
  }
}

signature = HMAC-SHA256(secret, "{timestamp}.{rawBody}")  →  hex 인코딩

import express from 'express';
import crypto from 'node:crypto';
 
const app = express();
const WEBHOOK_SECRET = process.env.POSMIT_WEBHOOK_SECRET!; // YOUR_HMAC_SECRET (64자 hex)
 
// 서명 검증을 위해 원문 바디를 그대로 받습니다
app.post(
  '/webhooks/posmit',
  express.raw({ type: 'application/json' }),
  (req, res) => {
    const timestamp = req.get('x-projectnoti-timestamp') ?? '';
    const signature = req.get('x-projectnoti-signature') ?? '';
    const rawBody = req.body as Buffer;
 
    // 1. 서명 재계산: HMAC-SHA256(secret, "timestamp.rawBody")
    const expected = crypto
      .createHmac('sha256', WEBHOOK_SECRET)
      .update(`${timestamp}.${rawBody.toString('utf8')}`)
      .digest('hex');
 
    // 2. 상수 시간 비교 (타이밍 공격 방지)
    const valid =
      expected.length === signature.length &&
      crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(signature));
    if (!valid) return res.sendStatus(401);
 
    // 3. 리플레이 방지: timestamp 신선도 검사 (권장, 수신 측 책임)
    const ageSeconds = Math.abs(Math.floor(Date.now() / 1000) - Number(timestamp));
    if (!Number.isFinite(ageSeconds) || ageSeconds > 300) return res.sendStatus(401);
 
    // 4. 검증 통과 후에만 파싱
    const event = JSON.parse(rawBody.toString('utf8'));
 
    // 5. eventId로 멱등 처리 (재시도로 같은 이벤트가 중복 도착할 수 있습니다)
    // if (alreadyProcessed(event.eventId)) return res.sendStatus(200);
 
    // 처리는 비동기로 넘기고 빠르게 2xx 응답
    res.sendStatus(200);
    handleEvent(event).catch(console.error);
  },
);
 
async function handleEvent(event: { eventType: string; notificationRequestId: string }) {
  switch (event.eventType) {
    case 'notification.delivered':
      // ...
      break;
    case 'notification.failed':
      // ...
      break;
  }
}