如何验证 Paypal webhook 通知 DIY 风格（不使用 Paypal SDK）

Question

集成 Paypal 的智能按钮后，我在验证 Paypal 发送的 webhook 通知时遇到问题。我发现的例子要么已经过时，要么不起作用。有没有办法验证 webhook 通知，最好是 DIY 方式（即无需使用庞大而复杂的 Paypal API）？

Answer 1

据我所知，这段代码只是一个真正有效的代码。我在堆栈溢出中找到的所有其他示例都不起作用，因为在编写签名字符串时，它们不是传递 webhook本身的 ID，而是使用 webhook 事件的 ID，因此验证将失败。

在 Paypal 开发者后端添加 webhook 后，将生成 webhook ID。创建 Webhook 后，您将在已安装的 Webhook 列表中看到其 ID。

其余部分非常简单：我们获取标头和 HTTP 正文，并使用 Paypal 的配方组成签名：

为了生成签名，PayPal 使用竖线 (|) 字符连接和分隔这些项目。

“这些项目”是：传输 ID、传输日期、Webhook ID 和 HTTP 正文上的 CRC。前两个可以在请求的 header 中找到，开发者后端的 webhook id（当然，该 id 永远不会改变），CRC 的计算如下所示。

证书的位置也位于标头中，因此我们加载它并提取私钥。

最后要注意的是：Paypal 提供的算法名称（同样在标头字段中）与 PHP 所理解的并不完全相同。Paypal 将其称为“sha256WithRSA”，但openssl_verify期望为“sha256WithRSAEncryption”。

// get request headers

$headers=apache_request_headers();

// get http payload

$body=file_get_contents('php://input');

// compose signature string: The third part is the ID of the webhook ITSELF(!),

// NOT the ID of the webhook event sent. You find the ID of the webhook

// in Paypal's developer backend where you have created the webhook

$data=

    $headers['Paypal-Transmission-Id'].'|'.

    $headers['Paypal-Transmission-Time'].'|'.

    '[THE_ID_OF_THE_WEBHOOK_ACCORDING_TO_DEVELOPER_BACKEND]'.'|'.

    crc32($body);

// load certificate and extract public key

$pubKey=openssl_pkey_get_public(file_get_contents($headers['Paypal-Cert-Url']));

$key=openssl_pkey_get_details($pubKey)['key'];

// verify data against provided signature 

$result=openssl_verify(

    $data,

    base64_decode($headers['Paypal-Transmission-Sig']),

    $key,

    'sha256WithRSAEncryption'

);

if ($result==1) {

    // webhook notification is verified

    ...

}

elseif ($result==0) {

    // webhook notification is NOT verified

    ...

}

else {

    // there was an error verifying this

    ...

}