เว็บฮุกและการเชื่อมต่อ

ตรวจลายเซ็นเว็บฮุก

คำนวณลายเซ็นบนเนื้อคำขอแบบดิบ ก่อนการแปลง JSON ใด ๆ แล้วเปรียบเทียบในเวลาคงที่ การแปลงเนื้อหากลับเป็นสตริงใหม่ทำให้ไบต์เปลี่ยน และลายเซ็นจะไม่มีวันตรงกันอีก

ทบทวนเมื่อ 20 สิงหาคม 2569

ขั้นตอน

1. จับเนื้อคำขอแบบดิบเป็นไบต์ เฟรมเวิร์กส่วนใหญ่ให้อ็อบเจกต์ที่แปลงแล้วมาโดยค่าเริ่มต้น ซึ่งสายไปแล้ว
2. คำนวณลายเซ็นบนไบต์เหล่านั้นเป๊ะ ๆ ด้วยคีย์ลับของปลายทางฝั่งคุณ
3. เปรียบเทียบด้วยการเทียบแบบเวลาคงที่ แทนการเทียบสตริงตรง ๆ
4. แปลง JSON ต่อเมื่อลายเซ็นผ่านการตรวจแล้วเท่านั้น
5. ปฏิเสธทุกอย่างที่ไม่ผ่าน และบันทึก id ของการส่งแทนตัวเนื้อหา

วิธีตรวจผลลัพธ์

การส่งของจริงผ่านการตรวจ ส่วนเนื้อหาเดียวกันที่แก้ไปหนึ่งตัวอักษรไม่ผ่าน

สิ่งที่มักผิดพลาด

• แปลงแล้วแปลงกลับเป็นสตริงใหม่ก่อนคำนวณลายเซ็น
• มิดเดิลแวร์แปลงเนื้อคำขอที่กินสตรีมไปก่อนถึงตัวจัดการของคุณ
• === ธรรมดาบนลายเซ็น ซึ่งรั่วผ่านเวลาที่ใช้