웹훅 받기

외부 서비스 → 접수창구 (hooks.{회사}… /r/{창구 id}) → 발신자 검증 → 앱의 수신 경로

axhub relay create --app <앱> --name <창구-이름> --verify-mode key

import { createHmac, timingSafeEqual } from 'crypto';

export async function POST(req: Request): Promise<Response> {
  const secret = process.env.AXHUB_RELAY_SIGNING_SECRET ?? '';
  const rawBody = await req.text();
  const provided = req.headers.get('x-axhub-signature') ?? '';
  const expected = 'sha256=' + createHmac('sha256', secret).update(rawBody).digest('hex');
  const ok = secret !== '' && provided.length === expected.length &&
    timingSafeEqual(Buffer.from(provided), Buffer.from(expected));
  if (!ok) {
    return new Response('unauthorized', { status: 401 });
  }
  const deliveryId = req.headers.get('x-axhub-delivery') ?? '';
  // 재시도로 같은 전달이 다시 올 수 있어요 — deliveryId 기준으로 한 번만 처리하세요.
  console.log('inbound webhook', deliveryId, rawBody.length);
  // 처리가 끝나면 2xx를 돌려주세요. 2xx가 아니면 다시 전달돼요.
  return new Response('ok', { status: 200 });
}