Webhook real-time

curl --request POST \
  --url 'https://xunibox.vn/api/public/webhooks' \
  --header 'X-API-Key: xnb_live_your_key' \
  --header 'Content-Type: application/json' \
  --data '{
    "url": "https://your-app.com/hooks/xunibox",
    "events": ["track.created", "track.updated", "track.deleted"],
    "description": "Đồng bộ kho nhạc production"
  }'

HTTP/1.1 201 Created

{
  "data": {
    "id": "0f9a1c22-7d3e-4b6a-9e11-2b0c4d5e6f70",
    "url": "https://your-app.com/hooks/xunibox",
    "events": ["track.created", "track.updated", "track.deleted"],
    "is_active": true,
    "secret": "whsec_9f2c8ab1...e40",
    "created_at": "2026-08-06T05:12:00.000Z"
  },
  "meta": { "signature_header": "X-XuniBOX-Signature" }
}

// secret CHỈ hiện đúng một lần ở phản hồi này. Lưu ngay vào biến môi trường.
// Tối đa 5 webhook cho mỗi tài khoản đối tác.

// Node.js / Express — xác minh chữ ký trước khi tin payload.
import crypto from "node:crypto";
import express from "express";

const app = express();

// Cần RAW body để tính HMAC, không được dùng express.json() trước bước này.
app.post("/hooks/xunibox", express.raw({ type: "application/json" }), (req, res) => {
  const signature = req.header("X-XuniBOX-Signature") ?? "";
  const timestamp = req.header("X-XuniBOX-Timestamp") ?? "";
  const rawBody   = req.body.toString("utf8");

  // Chống replay: bỏ qua gói cũ hơn 5 phút.
  if (Math.abs(Date.now() - Date.parse(timestamp)) > 5 * 60 * 1000) {
    return res.status(400).send("timestamp quá cũ");
  }

  // Chuỗi được ký là: "${timestamp}.${rawBody}"
  const expected = "sha256=" + crypto
    .createHmac("sha256", process.env.XUNIBOX_WEBHOOK_SECRET)
    .update(`${timestamp}.${rawBody}`)
    .digest("hex");

  const a = Buffer.from(signature);
  const b = Buffer.from(expected);
  if (a.length !== b.length || !crypto.timingSafeEqual(a, b)) {
    return res.status(401).send("chữ ký không hợp lệ");
  }

  const payload = JSON.parse(rawBody);

  // Trả 2xx NGAY, xử lý nặng đưa vào hàng đợi nền.
  res.status(200).send("ok");
  void queue.push(payload);
});

<?php
// PHP thuần / Laravel controller
$raw       = file_get_contents('php://input');
$signature = $_SERVER['HTTP_X_XUNIBOX_SIGNATURE'] ?? '';
$timestamp = $_SERVER['HTTP_X_XUNIBOX_TIMESTAMP'] ?? '';

if (abs(time() - strtotime($timestamp)) > 300) {
    http_response_code(400);
    exit('timestamp quá cũ');
}

$expected = 'sha256=' . hash_hmac('sha256', $timestamp . '.' . $raw, getenv('XUNIBOX_WEBHOOK_SECRET'));

if (!hash_equals($expected, $signature)) {
    http_response_code(401);
    exit('chữ ký không hợp lệ');
}

$payload = json_decode($raw, true);

switch ($payload['event']) {
    case 'track.created':
    case 'track.updated':
        upsertTrack($payload['data']);
        break;
    case 'track.deleted':
        // Bắt buộc theo điều khoản: ngừng dùng cho nội dung MỚI trong 24 giờ.
        disableTrack($payload['data']['id']);
        break;
}

http_response_code(200);
echo 'ok';