Shopify Webhook手动验证：实现方案与生产级安全性确认

一、当前方案是否满足生产级安全要求？ #

你的核心验证逻辑符合Shopify Webhook的安全规范，补上几个关键细节后完全可以用于生产环境：

• 核心逻辑合规：通过Shopify提供的签名密钥对原始请求体计算HMAC-SHA256，再与请求头x-shopify-hmac-sha256比对，这是Shopify官方认可的验证方式（官方库本质也是执行相同逻辑）。
• 需补全的安全细节：
  • 禁止硬编码密钥：把代码里硬写的secret替换为Netlify环境变量（比如process.env.SHOPIFY_WEBHOOK_SECRET），避免密钥泄露。
  • 必须读取原始请求体：你用req.text()获取原始文本的做法是正确的，绝对不能先解析成JSON再序列化回去——不同序列化格式（如空格、键顺序）会导致HMAC计算错误，同时可能引入篡改风险。
  • 补充辅助验证：建议同时校验x-shopify-shop-domain（确保请求来自授权店铺）和x-shopify-topic（确保请求是预期事件类型），进一步降低重放攻击风险。
  • 增加边界校验：如果请求头缺少x-shopify-hmac-sha256或环境变量未配置密钥，直接返回403拒绝请求。

二、crypto.timingSafeEqual是否能带来实际安全提升？ #

是的，它能有效防御时序攻击，是生产环境中必要的安全措施：

• 普通字符串比对（如hmac === shopifyHmac）的耗时会随匹配字符数量变化：比如前10个字符匹配，比对到第11个字符不匹配时就会停止，攻击者可通过反复请求并测量响应时间，逐步猜出正确的HMAC值。
• timingSafeEqual强制两个Buffer的比对过程耗时固定，无论匹配程度如何，彻底封死了攻击者通过时序信息破解HMAC的可能，符合密码学安全最佳实践。

优化后的参考代码 #

import crypto from 'node:crypto'

export default async (req, context) => {
  // 从请求头获取Shopify的HMAC签名
  const shopifyHmac = req.headers.get('x-shopify-hmac-sha256');
  // 从Netlify环境变量获取签名密钥
  const secret = process.env.SHOPIFY_WEBHOOK_SECRET;

  // 边界校验：缺少必要信息直接拒绝
  if (!shopifyHmac || !secret) {
    return new Response('Unauthorized', { status: 403 });
  }

  try {
    // 获取原始请求体（必须是未修改的原始文本）
    const requestBody = await req.text();
    const requestBuffer = Buffer.from(requestBody, 'utf8');

    // 计算请求体的HMAC-SHA256签名
    const computedHmac = crypto
      .createHmac('sha256', secret)
      .update(requestBuffer)
      .digest('base64');

    // 用timingSafeEqual做安全比对
    const isValid = crypto.timingSafeEqual(
      Buffer.from(computedHmac, 'base64'),
      Buffer.from(shopifyHmac, 'base64')
    );

    if (!isValid) {
      return new Response('Unauthorized', { status: 403 });
    }

    // 验证通过，处理业务逻辑
    return new Response('Webhook verified', { status: 200 });
  } catch (err) {
    console.error('Webhook verification failed:', err);
    return new Response('Server Error', { status: 500 });
  }
}

内容的提问来源于stack exchange，提问作者dbzx10299