Cách Twilio gửi webhook

Hành vi gửi

Lấy từ tài liệu của chính hãng, kiểm tra lần cuối 2026-08-06. Hãng không nêu con số nào thì bảng này cũng không ghi.

Chữ ký

Kiểm chứng bằng một bộ xác minh chạy thật, có bộ test chứng minh, chứ không đọc từ tài liệu. Kiểm chứng lần cuối 2026-08-20.

Xác minh

Dùng raw body của request, đúng từng byte, trước mọi bước parse JSON. Mọi cơ chế trên trang này đều hỏng ngay khi framework serialize lại payload.

const crypto = require("node:crypto");

// base64(HMAC-SHA1(auth token, url + form params sorted by key, concatenated))
const sorted = Object.keys(req.body).sort();
const base = fullUrl + sorted.map((k) => k + req.body[k]).join("");
const expected = crypto
  .createHmac("sha1", authToken)
  .update(base)
  .digest("base64");
const received = Buffer.from(req.headers["x-twilio-signature"] ?? "");
const wanted = Buffer.from(expected);
// timingSafeEqual throws on a length mismatch, so check that first.
const valid =
  received.length === wanted.length && crypto.timingSafeEqual(received, wanted);

Chữ ký bao trùm toàn bộ URL công khai, gồm cả query string. TLS termination hoặc một proxy viết lại path đặt trước handler sẽ làm thay đổi URL mà Twilio đã ký, và sự sai lệch đó trông y hệt một request giả mạo.

Những chỗ dễ vấp

Đọc thêm

• Twilio trao cho bạn núm chỉnh timeout
• Xác minh chữ ký webhook trên nhiều nhà cung cấp
• Bảng đầy đủ các nhà cung cấp