セキュリティ

import crypto from 'crypto';
import express from 'express';

const app = express();

// 署名検証のために raw 本文パーサーを使用
app.use('/webhook/firecrawl', express.raw({ type: 'application/json' }));

app.post('/webhook/firecrawl', (req, res) => {
  const signature = req.get('X-Firecrawl-Signature');
  const webhookSecret = process.env.FIRECRAWL_WEBHOOK_SECRET;
  
  if (!signature || !webhookSecret) {
    return res.status(401).send('認証されていません');
  }
  
  // 署名ヘッダーからハッシュを抽出
  const [algorithm, hash] = signature.split('=');
  if (algorithm !== 'sha256') {
    return res.status(401).send('無効な署名アルゴリズム');
  }
  
  // 期待される署名を算出
  const expectedSignature = crypto
    .createHmac('sha256', webhookSecret)
    .update(req.body)
    .digest('hex');
  
  // タイミング安全な比較で署名を検証
  if (!crypto.timingSafeEqual(Buffer.from(hash, 'hex'), Buffer.from(expectedSignature, 'hex'))) {
    return res.status(401).send('無効な署名');
  }
  
  // 検証済みの webhook を解析して処理
  const event = JSON.parse(req.body);
  console.log('検証済みの Firecrawl webhook:', event);
  
  res.status(200).send('ok');
});

app.listen(3000, () => console.log('ポート 3000 で待機中'));

import hmac
import hashlib
from flask import Flask, request, abort

app = Flask(__name__)

WEBHOOK_SECRET = 'your-webhook-secret-here'  # Firecrawl ダッシュボードで取得

@app.post('/webhook/firecrawl')
def webhook():
    signature = request.headers.get('X-Firecrawl-Signature')
    
    if not signature:
        abort(401, '署名ヘッダーが見つかりません')
    
    # 署名ヘッダーからハッシュを取り出す
    try:
        algorithm, hash_value = signature.split('=', 1)
        if algorithm != 'sha256':
            abort(401, '署名アルゴリズムが不正です')
    except ValueError:
        abort(401, '署名フォーマットが不正です')
    
    # 期待される署名を算出
    expected_signature = hmac.new(
        WEBHOOK_SECRET.encode('utf-8'),
        request.data,
        hashlib.sha256
    ).hexdigest()
    
    # タイミングセーフな比較で署名を検証する
    if not hmac.compare_digest(hash_value, expected_signature):
        abort(401, '署名が不正です')
    
    # 検証済みの Webhook を解析・処理
    event = request.get_json(force=True)
    print('検証済みの Firecrawl Webhook:', event)
    
    return 'ok', 200

if __name__ == '__main__':
    app.run(port=3000)