Webhook & Thanh toán VietQR

{
  "id": 8921450,
  "gateway": "MBBank",
  "transactionDate": "2026-09-28 14:22:10",
  "accountNumber": "0389468260",
  "subAccount": null,
  "code": "FT2627192840",
  "content": "BVOIZ 492015 CHUYEN TIEN NANG CAP GOI",
  "transferType": "in",
  "transferAmount": 249000,
  "amount": 249000,
  "accumulated": 15850000,
  "referenceCode": "NAPAS247_928194821",
  "reference": "928194821",
  "description": "MBBank chuyen tien nhanh Napas 247 den Bvoiz",
  "order_code": "BVOIZ492015",
  "status": "PAID"
}

import express, { Request, Response } from "express";
import crypto from "crypto";

const app = express();
app.use(express.json());

const SEPAY_SECRET_KEY = process.env.SEPAY_SECRET_KEY || "YOUR_SECRET_KEY";

app.post("/api/webhooks/bank-payment", async (req: Request, res: Response) => {
  try {
    // 1. Kiểm tra secret key bảo mật từ Header
    const receivedKey = req.headers["x-secret-key"] as string || 
      (req.headers.authorization?.startsWith("Apikey ") 
        ? req.headers.authorization.replace("Apikey ", "") 
        : "");

    if (!receivedKey || !crypto.timingSafeEqual(Buffer.from(receivedKey), Buffer.from(SEPAY_SECRET_KEY))) {
      return res.status(401).json({
        success: false,
        message: "Unauthorized: Chữ ký bảo mật không hợp lệ",
      });
    }

    const { content, transferAmount, referenceCode, order_code } = req.body;

    // 2. Trích xuất mã đơn hàng từ nội dung nếu chưa có
    let finalOrderCode = order_code;
    if (!finalOrderCode && content) {
      const match = content.match(/BVOIZ\s*(\d+)/i);
      if (match) {
        finalOrderCode = `BVOIZ${match[1]}`;
      }
    }

    if (!finalOrderCode) {
      console.warn("Không tìm thấy mã đơn hàng BVOIZ trong nội dung:", content);
      return res.status(200).json({ success: false, message: "Ignored: Không phải mã đơn BVOIZ" });
    }

    // 3. Đảm bảo tính lũy đẳng (Idempotency) dựa trên referenceCode
    const isProcessed = await checkTransactionProcessed(referenceCode);
    if (isProcessed) {
      return res.status(200).json({ success: true, message: "Giao dịch đã được xử lý trước đó" });
    }

    // 4. Kích hoạt đơn hàng và cộng credits cho người dùng
    await activateUserSubscription(finalOrderCode, transferAmount, referenceCode);

    // 5. Trả về HTTP 200 OK ngay lập tức trong vòng < 3 giây
    return res.status(200).json({
      status: 200,
      success: true,
      order_code: finalOrderCode,
      message: "Kích hoạt dịch vụ thành công",
    });
  } catch (err: any) {
    console.error("Lỗi xử lý webhook:", err);
    return res.status(500).json({ error: "Lỗi nội bộ máy chủ khi xử lý webhook" });
  }
});

app.listen(3000, () => console.log("Webhook server đang lắng nghe cổng 3000"));

curl -X POST https://api.bvoiz.com/api/payment/mock-pay \
  -H "Content-Type: application/json" \
  -d '{
    "order_code": "BVOIZ492015"
  }'