解决跨语言HMAC签名验证不一致：JSON字符串化差异与标准化实践

import hmac
import hashlib
import json

def verify_signature(key, timestamp, provided_signature, payload):
  key_bytes = bytes.fromhex(key)
  payload_str = json.dumps(payload) # JSON字符串化
  data = timestamp + payload_str
  signature = hmac.new(key_bytes, data.encode('utf-8'),
                       hashlib.sha256).hexdigest()
  valid = hmac.compare_digest(provided_signature, signature)
  return valid

import * as crypto from 'crypto';

export function verifyCloseSignature(
  request: Request,
  key: string,
  payload: any,
) {
  const headers = request.headers;
  const timestamp = headers.get('close-sig-timestamp');
  const providedSignature = headers.get('close-sig-hash');

  if (!timestamp || !providedSignature) {
    throw new Error('[verifyCloseSignature] Required headers missing');
  }

  const payloadString = JSON.stringify(payload); // 默认紧凑字符串
  const hmac = crypto.createHmac('sha256', Buffer.from(key, 'hex'));
  hmac.update(timestamp + payloadString);
  const calculatedSignature = hmac.digest('hex');

  return crypto.timingSafeEqual(
    Buffer.from(providedSignature, 'hex'),
    Buffer.from(calculatedSignature, 'hex'),
  );
}

import { pipe, replace } from 'ramda'; // 假设已安装ramda

/**
 * 将JSON对象标准化为特定格式的字符串。
 * 该函数旨在模拟Python json.dumps()在特定场景下产生的字符串格式，
 * 确保在冒号和逗号后有一个空格，移除其他不必要的空格和换行。
 * @param object 待字符串化的JSON对象。
 * @returns 标准化后的JSON字符串。
 */
export const toJSONWithSpaces = pipe(
  // 1. 使用 null, 1 参数进行初步字符串化，产生带换行和缩进的字符串
  (object: unknown) => JSON.stringify(object, null, 1),
  // 2. 将换行符和其后的空格替换为单个空格
  replace(/\n +/gm, ' '),
  // 3. 确保冒号后有一个空格
  replace(/:\s?/g, ': '), // 匹配冒号后可能有或没有的空格，替换为冒号后一个空格
  // 4. 移除开括号后的空格
  replace(/{\s?/g, '{'),
  // 5. 移除闭括号前的空格
  replace(/\s?}/g, '}'),
  // 6. 移除开方括号后的空格
  replace(/\[\s?/g, '['),
  // 7. 移除闭方括号前的空格
  replace(/\s?]/g, ']'),
  // 8. 确保逗号后有一个空格
  replace(/,\s?/g, ', '),
);

import * as crypto from 'crypto';
import { toJSONWithSpaces } from './utils'; // 假设toJSONWithSpaces在utils.ts中

/**
 * 验证Close API或Webhook签名。
 * @param request Express或其他框架的请求对象，包含headers。
 * @param key 用于HMAC计算的密钥（十六进制字符串）。
 * @param payload 请求体中的JSON数据。
 * @returns 签名是否有效。
 * @throws 如果缺少必要的签名头部信息。
 */
export function verifyCloseSignature(
  request: Request, // 或 Express.Request 等
  key: string,
  payload: any,
) {
  const headers = request.headers;

  const timestamp = headers.get('close-sig-timestamp');
  const providedSignature = headers.get('close-sig-hash');

  if (!timestamp) {
    throw new Error('[verifyCloseSignature] Required timestamp header missing');
  }

  if (!providedSignature) {
    throw new Error('[verifyCloseSignature] Required signature header missing');
  }

  // 使用标准化函数处理payload，确保字符串格式与Python端一致
  const cleanedPayload = toJSONWithSpaces(payload);

  const hmac = crypto.createHmac('sha256', Buffer.from(key, 'hex'));
  hmac.update(timestamp + cleanedPayload); // 使用标准化的payload
  const calculatedSignature = hmac.digest('hex');

  // 使用crypto.timingSafeEqual进行安全比较，防止时序攻击
  return crypto.timingSafeEqual(
    Buffer.from(providedSignature, 'hex'),
    Buffer.from(calculatedSignature, 'hex'),
  );
}