7
按文档用 X-Shopify-Hmac-Sha256 和 app secret 做 HMAC-SHA256 校验，算出来的值和请求头永远不等。
已采纳 · 提问者确认解决
34
先把判断放在前面：九成是拿「解析后的 JSON」去算，而不是原始请求体；反序列化再序列化会改变空格与顺序。
1处理顺序
- 保留原始 body 字节流（
await request.body()/req.rawBody），不要先JSON.parse再stringify。 - 用 secret 作为 key、原始 body 作为 message 做 HMAC-SHA256，再 base64。
- 比较时用恒定时间比较函数，避免时序攻击。
- 确认用的是应用的 API secret，不是 Admin API token。
- 在中间件里做校验，别让框架的 body parser 提前消费了流。
javascript
// Node / Express：必须拿原始 body
app.post('/webhook', express.raw({ type: '*/*' }), (req, res) => {
const hmac = crypto
.createHmac('sha256', process.env.SHOPIFY_API_SECRET)
.update(req.body) // Buffer，不要 toString 后重新 parse
.digest('base64');
const ok = crypto.timingSafeEqual(
Buffer.from(hmac),
Buffer.from(req.get('X-Shopify-Hmac-Sha256') || '')
);
if (!ok) return res.sendStatus(401);
res.sendStatus(200); // 先回 200，业务异步处理
queue.push(JSON.parse(req.body.toString('utf8')));
});验收：用真实 webhook 回放测试，校验通过率 100%，篡改 body 后校验失败。
风
风格技术团队 回答于 17 天前
