在 Java 中验证 Paypal Restful Webhook 签名

Question

我有一个使用 Paypal Restful Webhooks 的 Java servlet。在验证请求签名时，我按照

中详述的说明进行操作

https://developer.paypal.com/webapps/developer/docs/integration/direct/rest-webhooks-overview/#event-security

但是，即使按照 paypal 文档中的伪代码进行操作，我似乎也无法成功验证签名。这是我用来验证的实际代码（下面的方法总是返回 false）：

private static final String WEBHOOK_ID = "4HL82785RC0XXXXXX";

private boolean isValidRequest(HttpServletRequest req, String payload) throws Exception {
    String transmissionId = req.getHeader("PAYPAL-TRANSMISSION-ID");
    String timeStamp = req.getHeader("PAYPAL-TRANSMISSION-TIME");
    String crc32 = getCrcSum(payload);

    String expectedSignature = String.format("%s|%s|%s|%s", transmissionId, timeStamp, WEBHOOK_ID, crc32);
    System.out.println("EXPECTED SIG:" + expectedSignature);
    String actualSignatureEncoded = req.getHeader("PAYPAL-TRANSMISSION-SIG");
    String certUrl = req.getHeader("PAYPAL-CERT-URL");

    String algo = req.getHeader("PAYPAL-AUTH-ALGO");
    Signature shaWithRsa = Signature.getInstance(algo);
    byte[] certData = HttpUtils.getBytes(new URL(certUrl), null);

    Certificate certificate = X509Certificate.getInstance(certData);
    shaWithRsa.initVerify(certificate.getPublicKey());
    shaWithRsa.update(expectedSignature.getBytes());

    byte[] actualSignature = Base64.decodeBase64(actualSignatureEncoded.getBytes());

    return shaWithRsa.verify(actualSignature);
}

private static String getCrcSum(final String body) {
    byte[] bytes = body.getBytes();

    CRC32 checkSum = new CRC32();
    checkSum.update(bytes, 0, bytes.length);

    return String.valueOf(checkSum.getValue());
    //return Long.toHexString(checkSum.getValue());
}

HttpUtils.getBytes(new URL(certUrl), null);只是用于检索 GET 请求结果的辅助方法。它返回一个有效的证书。

我能想到的可能罪魁祸首是： 1. CRC32 的计算与 Paypal 的计算方式有所不同。 2. Paypal URL 中的公钥与 Paypal 使用的私钥不匹配。

这是我从 servlet 请求中获取有效负载的方法：

String payload = getString(req.getInputStream());


private static String getString(InputStream is) {
    BufferedReader br = null;
    StringBuilder sb = new StringBuilder();

    String line;
    try {

        br = new BufferedReader(new InputStreamReader(is));
        while ((line = br.readLine()) != null) {
            sb.append(line);
        }

    } catch (IOException e) {
        e.printStackTrace();
    } finally {
        if (br != null) {
            try {
                br.close();
            } catch (IOException e) {
                e.printStackTrace();
            }
        }
    }

    return sb.toString();
}

我使用https://developer.paypal.com/developer/webhooksSimulator 进行测试。

Answer 1

事实证明，上面的代码运行正常。问题是如何正确测试它。

https://developer.paypal.com/developer/webhooksSimulator 中的 Paypal 的 webhook 模拟器仅用于连接测试。

https://developer.paypal.com/webapps/developer/docs/api/#simulate-a-webhook-event 中详述的 webhook 模拟 API 将用于验证签名，但有一个 AFAIK 未记录的问题。模拟 API 接受 webhook_id 或 webhook url 作为参数（或两者）。根据我的测试，如果您只指定 url，则 webhook 无法正确验证。但是，如果您指定 webhook_id，则 webhook 验证过程会相应地工作。

不幸的是，我一直在使用模拟 API 进行测试，同时只指定了 url。感谢 @wpohl 给了我在模拟 API 中使用 webhook_id 的想法。

Answer 2

文档说明“Webhook ID：这是传递事件的目标 URL 的 Webhook 资源的 ID”。所以它不是事件的ID（在我的例子中：“WH-36432655JG839693T-2LC486465H4712400”）。但是如果你使用 webhook 模拟器，你就没有持久的“webhook 资源”。

我创建了一个 webhook 并触发了一个通知。并使用该 ID（在我的情况下为“3EB298650W722680T”）它可以工作。