API 보안

import { AuthenticationClient } from 'auth0';

const auth0Client = new AuthenticationClient({
  domain: 'dex.asia.auth.chainstream.io',
  clientId: process.env.CHAINSTREAM_CLIENT_ID,
  clientSecret: process.env.CHAINSTREAM_CLIENT_SECRET
});

const { data } = await auth0Client.oauth.clientCredentialsGrant({
  audience: 'https://api.dex.chainstream.io'
});

const accessToken = data.access_token;

// ❌ 위험: 하드코딩된 인증 정보
const clientId = "your_client_id";
const clientSecret = "your_secret";

// ❌ 위험: 버전 관리에 커밋
// config.json: { "client_id": "...", "client_secret": "..." }

// ✅ 안전: 환경 변수 사용
const clientId = process.env.CHAINSTREAM_CLIENT_ID;
const clientSecret = process.env.CHAINSTREAM_CLIENT_SECRET;

// ✅ 안전: 시크릿 관리 서비스 사용
const credentials = await secretsManager.getSecret('chainstream-credentials');

// ❌ 위험: 인증서 검증 건너뛰기
process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0';

// ✅ 안전: 정상 인증서 검증 (기본 동작)
const response = await fetch('https://api.chainstream.io/v1/...');

const crypto = require('crypto');

function verifyWebhookSignature(payload, signature, secret) {
  const expectedSignature = crypto
    .createHmac('sha256', secret)
    .update(JSON.stringify(payload))
    .digest('hex');
  
  return crypto.timingSafeEqual(
    Buffer.from(signature),
    Buffer.from(expectedSignature)
  );
}

// Express 미들웨어 예시
app.post('/webhook', (req, res) => {
  const signature = req.headers['x-webhook-signature'];
  const isValid = verifyWebhookSignature(
    req.body,
    signature,
    process.env.WEBHOOK_SECRET
  );
  
  if (!isValid) {
    return res.status(401).send('Invalid signature');
  }
  
  // Webhook 메시지 처리
  console.log('Received webhook:', req.body);
  res.status(200).send('OK');
});