Avvio rapido dei webhook

import { createHmac, timingSafeEqual } from 'node:crypto';

// Una richiesta firmata più vecchia di così viene rifiutata, quindi una
// richiesta catturata non può essere rimandata più tardi.
const MAX_AGE_SECONDS = 5 * 60;

function isSignedByGrowWriter(rawBody: string, header: string, secret: string) {
  // L'header ha questa forma: t=1756718400,v1=5257a869e7...
  const parts = Object.fromEntries(
    header.split(',').map((part) => part.split('='))
  );
  const age = Math.abs(Date.now() / 1000 - Number(parts.t));
  if (!(age < MAX_AGE_SECONDS)) {
    return false;
  }
  // Ricalcola l'impronta su "timestamp.corpo" con il tuo secret INTERO
  // (prefisso whsec_ incluso) e confronta in tempo costante.
  const expected = createHmac('sha256', secret)
    .update(`${parts.t}.${rawBody}`)
    .digest('hex');
  const provided = Buffer.from(parts.v1 ?? '', 'hex');
  const wanted = Buffer.from(expected, 'hex');
  return provided.length === wanted.length && timingSafeEqual(provided, wanted);
}

export async function POST(request: Request) {
  // Leggi il corpo come testo per primo. Farne il parsing prima di
  // controllare la firma cambia i byte e il controllo fallisce.
  const rawBody = await request.text();
  const signature = request.headers.get('x-growwriter-signature') ?? '';
  const secret = process.env.GROWWRITER_WEBHOOK_SECRET ?? '';

  if (!isSignedByGrowWriter(rawBody, signature, secret)) {
    return new Response('Invalid signature', { status: 401 });
  }

  const payload = JSON.parse(rawBody);

  // "Invia evento di prova" manda un ping senza articolo. Rispondere 200
  // è ciò che fa riuscire la prova.
  if (payload.event === 'ping') {
    return new Response('pong');
  }

  // Un articolo vero (o la sua rimozione: article.unpublished porta solo
  // l'id). Per ora, dimostra solo che è arrivato; la guida mostra come
  // salvarlo. Quando lo salverai, Response.json({ url }) con l'URL
  // pubblico del post darà alla finestra di pubblicazione un link "Vedi
  // articolo".
  console.log(`${payload.event}: ${payload.article.id}`);
  return new Response('OK');
}

GROWWRITER_WEBHOOK_SECRET=whsec_incolla_qui_il_tuo_secret

SECRET="whsec_incolla_qui_il_tuo_secret"
URL="https://www.example.com/webhooks/growwriter"
BODY='{"version":"2026-09-06","event":"ping","deliveryId":"9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e","sentAt":"2026-09-01T09:30:00.000Z"}'

TIMESTAMP=$(date +%s)
SIGNATURE=$(printf '%s.%s' "$TIMESTAMP" "$BODY" | openssl dgst -sha256 -hmac "$SECRET" | sed 's/^.* //')

curl -X POST "$URL" \
  -H "Content-Type: application/json" \
  -H "X-GrowWriter-Event: ping" \
  -H "X-GrowWriter-Delivery: 9d2f7c1e-6a3b-4c8d-b5e0-1f2a3b4c5d6e" \
  -H "X-GrowWriter-Signature: t=$TIMESTAMP,v1=$SIGNATURE" \
  --data "$BODY"