Webhooks

import { createHmac, timingSafeEqual } from "node:crypto";

// O contrato de um receptor de webhook decente:
// 1. verificar a assinatura  2. deduplicar  3. enfileirar  4. responder 200 JÁ
const processados = new Set<string>();      // Redis/tabela na vida real
const fila: unknown[] = [];                 // SQS/RabbitMQ na vida real

function verificarAssinatura(corpo: string, assinatura: string, segredo: string) {
  const esperada = createHmac("sha256", segredo).update(corpo).digest("hex");
  // comparação em tempo constante — timing attack não revela a assinatura
  return (
    esperada.length === assinatura.length &&
    timingSafeEqual(Buffer.from(esperada), Buffer.from(assinatura))
  );
}

async function receberWebhook(req: {
  corpo: string;
  cabecalhos: Record<string, string>;
}): Promise<{ status: number }> {
  // 1. sem assinatura válida, o corpo é só uma história que alguém contou
  if (!verificarAssinatura(req.corpo, req.cabecalhos["x-assinatura"], SEGREDO)) {
    return { status: 401 };
  }

  const evento = JSON.parse(req.corpo) as { id: string; tipo: string };

  // 2. entrega é ao-menos-uma-vez: o mesmo evento VAI chegar de novo
  if (processados.has(evento.id)) return { status: 200 }; // duplicata: ok e tchau

  // 3. + 4. guarda para processar depois e responde rápido —
  // processar inline estoura o timeout do emissor, que reenvia, que duplica...
  processados.add(evento.id);
  fila.push(evento);
  return { status: 200 };
}

const SEGREDO = process.env.WEBHOOK_SECRET ?? "";