IOSOR

IOSOR Panduan

Gerbang tanda tangan dan jendela replay

Gerbang produksi: verifikasi tanda tangan dan batasi jendela replay sebelum webhook apa pun menjadi uang atau kebenaran status — event yang tidak bertanda tangan atau kedaluwarsa tetap fail-closed.

Menerima payload webhook tanpa verifikasi atau yang datang terlambat dapat memicu manipulasi saldo dan pendebitan ganda akibat serangan replay pada sistem prabayar. Terapkan gerbang proteksi di lapisan terdepan untuk memvalidasi tanda tangan kriptografis serta membatalkan request dengan stempel waktu di luar batas toleransi sebelum memutasi dana. Terkait: Webhook signature and replay window, Inbound webhook retries, Shared status language for product and finance, Debit rows vs delivery status ledger.

Verifikasi tanda tangan adalah gerbang uang

Uang dan kebenaran status baru dimulai setelah pemeriksaan tanda tangan berhasil. Tanda tangan yang hilang, tidak cocok, atau dilewati gagal tertutup — tanpa baris buku besar, tanpa «tetap dikirimkan untuk uji coba». Catalog Live tidak mengabaikan gerbang. Kedalaman kebiasaan: tanda tangan webhook dan jendela replay. USD 1.000/bulan lunak memperlakukan «menerima tanpa tanda tangan di staging selamanya» sebagai utang produksi; USD 20 membuktikan satu body palsu tidak pernah memposting debit.

Jendela replay sebelum kebenaran status

Pemeriksaan gerbang Arti lolos Arti gagal
Tanda tangan ada + valid Event terautentikasi Tolak; tanpa tulis uang/status
Stempel waktu dalam jendela Cukup baru untuk dipercaya Tolak sebagai replay/kedaluwarsa
ID event belum terlihat Penerimaan pertama ACK tanpa debit kedua
Event kontrak terdaftar Dalam menu event pembeli Buang tipe tidak dikenal .

Pengiriman at-least-once akan mencoba ulang. Percobaan ulang yang terlambat di luar jendela bukanlah «mungkin terkirim». Catat penolakan jendela secara terpisah dari kegagalan tanda tangan. Kedalaman percobaan ulang masuk: coba ulang webhook masuk.

Fail-closed saat gerbang menolak

Event yang ditolak tidak pernah menciptakan kesuksesan. Produk dan keuangan berbagi kata penolakan yang sama — bukan kode hulu pahlawan: Bahasa status bersama untuk produk dan keuangan. Baris debit tetap selaras hanya dengan event yang diterima: Baris debit vs status pengiriman di ledger yang sama. Efek samping hanya setelah ACK; pekerjaan CRM sebelum gerbang menciptakan kebenaran ganda.

Produk, keuangan, dan ops berbagi satu bukti

Produk: bisakah event yang ditandatangani secara sah dalam jendela memperbarui status satu kali? Keuangan: apakah setiap event yang memengaruhi uang menunjukkan kelulusan gerbang pada jendela UTC yang sama? Ops: ekspor kegagalan tanda tangan vs penolakan jendela tanpa arkeologi Slack.

Daftar periksa pembeli untuk gerbang tanda tangan replay

Verifikasi rotasi kunci HMAC di lingkungan staging. Pastikan drift stempel waktu tidak melebihi buffer replay. Periksa apakah penangan webhook menyimpan ID event untuk menghindari pemrosesan ganda. Uji payload palsu untuk mengonfirmasi bahwa gerbang melindungi buku besar debit.

Mulai dengan IOSOR

Di konsol: Signature + replay window gate before first webhook accept.. Namai pemilik dan gerbang sebelum scale.

Terkait: webhook signature replay window inbound sms webhook retries idempote.

Inti IOSOR

Lakukan verifikasi stempel UTC dan ledger ekspor di konsol untuk memastikan bahwa payload berfitur tanda tangan valid sebelum rilis. Jangan pernah mengabaikan gerbang keamanan ini agar event palsu tidak meloloskan entri debit.

Apakah panduan ini membantu?

Panduan terkait