Tích hợp BigPay

curl https://api.bigpay.vn/v1/transactions/list \
  -H "Authorization: Bearer bpk_live_xxxxxxxx" \
  -H "Content-Type: application/json"

POST /your/webhook  HTTP/1.1
Content-Type: application/json
X-BigPay-Signature: <hmac_sha256_hex_của_raw_body>
X-BigPay-Idempotency-Key: <id_giao_dịch>

{
  "id": "SEVQR_1730000000001",     // mã giao dịch (= sepay_txn_id), dùng chống trùng
  "gateway": "MB",                  // mã ngân hàng/cổng
  "transferType": "credit",         // "credit" (tiền vào) | "debit" (tiền ra)
  "amount": 1345000,                // số tiền (VND)
  "content": "BIGPAY DH10293 thanh toan",
  "va": null,                       // tài khoản ảo (nếu có)
  "paymentCode": "DH10293",         // mã đối soát tách từ nội dung
  "referenceCode": null,
  "transactionDate": "2026-10-31T03:42:00.000Z"
}

const crypto = require('crypto');

app.post('/webhook', express.raw({ type: '*/*' }), (req, res) => {
  const raw = req.body;                      // Buffer: raw body
  const expected = crypto.createHmac('sha256', SECRET)
    .update(raw).digest('hex');
  const got = req.header('X-BigPay-Signature') || '';
  const ok = got.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(got), Buffer.from(expected));
  if (!ok) return res.status(401).json({ success: false });

  const evt = JSON.parse(raw.toString('utf8'));
  // TODO: xử lý giao dịch evt.id (chống trùng), rồi:
  res.json({ success: true });
});

$raw = file_get_contents('php://input');
$expected = hash_hmac('sha256', $raw, $SECRET);
$got = $_SERVER['HTTP_X_BIGPAY_SIGNATURE'] ?? '';
if (!hash_equals($expected, $got)) { http_response_code(401); exit; }
$evt = json_decode($raw, true);
// xử lý $evt['id'] ...
header('Content-Type: application/json');
echo '{"success":true}';

1 → 1 → 2 → 3 → 5 → 8 → 13   (tối đa 8 lần, sau đó đánh dấu "dead")

{
  "error": { "code": "VALIDATION_ERROR", "message": "…", "details": { } },
  "correlationId": "…",
  "timestamp": "2026-10-31T03:42:00.000Z",
  "path": "/auth/login"
}