खुदरा वेबहुक हस्ताक्षर चेक बंद हो गया और स्थिर समय में तुलना करें

शिप

25 अगस्त 2026 को 9:34 pm बजे UTC

लेखक

Kamo

Commit

7022b25

सत्यापन के बिना वास्तविक तीन तरीकों को वापस करने के लिए उपयोग किया जाता है: एक null गुप्त शॉर्ट सर्किट, ग्यारह प्रदाता प्रकारों में से छह के माध्यम से गिर गया डिफ़ॉल्ट -> सच, और मान्यHmac के साथ तुलना में String.equals, जो लीक समय के माध्यम से पहली बार गलती की स्थिति। अंत बिंदु यह गार्ड (POST ********************** सार्वजनिक और अप्रत्याशित है, इसलिए यह जांच इसकी एकमात्र गार्ड थी। अब: एक null/blank गुप्त अस्वीकार, प्रदाता-> हेडर स्विच थकाऊ है किसी डिफ़ॉल्ट आर्म के साथ रिटेलप्रोविडर टाइप पर (एक बारहवां प्रदाता बन जाता है) कम्पाइल त्रुटि, चुप स्वीकार नहीं है, और HMAC दोनों पक्षों को डिकोड करता है bytes करने के लिए और MessageDigest.isEqual का उपयोग करता है।.