Rendre le chèque de signature du webhook de détail fermé et comparer en temps constant

Fixkamo-shared-library
Expédié
25 août 2026 à 21:34 UTC
Auteur
Kamo
Commite
7022b25

validSignature utilisée pour retourner true three ways sans vérifier quoi que ce soit: a null secret court-circuité, six des onze types de fournisseurs sont tombés par défaut -- vrai, et validHmac par rapport à String.equals, qui fuie la position du premier désaccord par temporisation. Le critère d'évaluation qu'il protège (Ouvrir le taux de l' fallème est public et sans atout, donc ce contrôle était son seul garde. Maintenant: un secret nul/blanc refuse, le commutateur fournisseur-en-en-en-tête est exhaustif sur RetailProviderType sans bras par défaut (un douzième fournisseur devient un compiler l'erreur, pas une acceptation silencieuse), et le HMAC compare les différents des deux côtés à des octets et utilise MessageDigest.isEqual.

Tous les changements

Comme ce que tu vois expédier ?

Chacune de ces mises à jour atterrit automatiquement dans votre espace de travail. Commencez gratuitement et regardez-le grandir semaine après semaine.

Commencez gratuitement pour toujoursPrix de visualisation