Как проверить подлинность данных пользователя (WebAppData) в мини-приложении MAX?

Реклама

VDSina · Нидерланды · ВыделенныеВыделенный Ryzen 9950X в АмстердамеФизический сервер без соседей и порт 10 Гбит/с.Скидка 10%Рекламодатель: SERVERS TECH FZCO

Зачем нужна валидация стартовых параметров

При запуске мини-приложения клиентская часть получает закодированную строку для валидации данных. Эти стартовые параметры находятся в параметре WebAppData в URL-фрагменте (данные после символа #) и также доступны через свойство window.WebApp.initData.

Заметка

Проверка подлинности позволяет убедиться, что стартовые параметры не были изменены, и требует использования токена бота, полученного на платформе MAX для партнеров.

Как подготовить строку параметров (launch_params)

1. Извлеките параметры платформы из URL-фрагмента (данные после символа #) в параметре WebAppData или получите эту строку через window.WebApp.initData.
2. Сохраните оригинальное значение параметра hash из WebAppData для последующей сверки и сформируйте из стартовых параметров initData строку launch_params для подписи.

Как вычислить подпись HMAC-SHA256 и сверить хеш

1. Создайте ключ шифрования secret_key с помощью алгоритма HMAC-SHA256, используя строку WebAppData в качестве ключа и токен вашего бота: HMAC_SHA256("WebAppData", BOT_TOKEN).
2. Вычислите подпись стартовых параметров initData — подпишите подготовленную строку launch_params с использованием ключа secret_key и представьте результат в виде hex-строки.
3. Сравните полученную hex-строку с оригинальным значением hash из WebAppData: если подписи совпадают — данные подлинные, если нет — данные были изменены.