Как определить от какого агрегатора пришел webhook?

Question

[0x80070005]

Имеется один url для несколько платежных агрегаторов (например, /api/webhook/payment). Как определить от какого платежного агрегатора пришел мне webhook? Заголовки? Можно подделать. Signature? Так не буду знать какой провайдер использовать. Некоторые предоставляют список айпи с которых они кидают запросы, но а если их нет?

Comments

[Everything_is_bad]

может сделать нормально и каждому агрегатору выдать разный url?

Answer 1

[maksam07]

Мы понятия не имеем о каких платежках вы пишете, как нам вам помочь? Каждая платежка может иметь совершенно разные подходы к отправке данных, нет "ГОСТа", чтобы четко отследить.
Если они все отправляют post запрос, то более простым решением будет передача им юрл с уникальным гет параметром, например:
/api/webhook/payment?ps=yandex
/api/webhook/payment?ps=sber
/api/webhook/payment?ps=ozon
И тогда вы будете более явно видеть, от кого идет запрос. Ну только если озону не подложите ссылку для яндекса и т.д.

Comments

[0x80070005]

С передачей GET параметра ок. А другие способы есть? Ну, представим что платежные агрегаты запрещают это делать, т.к. некоторые дают указать порт, а некоторые нет. Некоторые могут просто кидать POST запрос на url форматируя его ))

[maksam07]

0x80070005,

А другие способы есть?

Есть. Сделать роутинг с уникальными ссылками, как предложили в комментариях, и как хотел изначально хотел предложить я, но мне показалось это очевидным вариантом, я предположил, что вы и так его знаете, но по какой-то причине не делаете:
/api/webhook/payment/yandex
/api/webhook/payment/sber
/api/webhook/payment/ozon

хотя в моем ответе тоже уникальные ссылки, но такое использование встречается реже.

т.к. некоторые дают указать порт, а некоторые нет

А тут я не понял связи с гет параметром. Их можно указывать вместе:
http://example.com:80/api/webhook/payment?ps=yandex

[0x80070005]

maksam07, про разные ссылки, да, я знаю. У меня сейчас так сделано, но это полный бред, тк у меня провайдеры, а не разные контроллеры :)

[maksam07]

0x80070005, я не знаю как у вас устроен роутинг, и что вообще за движок используется. Чаще всего, при реализации работы с платежками, стараются спроектировать скрипт так, чтобы он динамически создавал ссылку для вебхука, если он может потребоваться платежке. Типа в админке "добавляешь" яндекс, озон и т.д., и у тебя на каждую платежку автоматически генерируется ссылка для приема данных. У тебя может быть даже несколько разных аккаунтов яндекса добавлено в админке, и у каждого будет уникальная ссылка, потому что это все разные аккаунты. Я еще ни разу не видел, чтобы по одной ссылке обрабатывали данные кучи разных платежек. Без костылей это невозможно. Только делать вариант с приоритезацией - определять уникальный параметр для каждой платежки, хоть в данных, юзерагенте, ип адресе и т.д., и в зависимости от "проверки", выполнять соответствующий скрипт, типа пришли данные:
id = яндекс
orderId - ozon
docID - sber