Секрет Github Webhooks с AWS API Gateway

Пришел сюда, потому что пытался интегрировать веб-хук Github с лямбдой AWS и столкнулся с той же проблемой, что и OP. На момент написания я считаю, что лучшим решением является включение кода проверки в основную лямбду, как предлагали другие.

В компьютерном блоге AWS за сентябрь 2017 года:

Функции Lambda расширенного авторизатора запросов получают объект события, аналогичный интеграции с прокси. Он содержит всю информацию о запросе, кроме тела.

Источник: Использование расширенных авторизаторов запросов в Amazon API Gateway (amazon.com)

Вы не можете выполнить HMAC в соответствии с рекомендациями Github, потому что лямбда-выражения авторизатора AWS не дают вам доступа к телу HTTP-запроса, который необходим для сравнения дайджестов.

Это позор, потому что HMAC кажется довольно стандартным способом защиты конечной точки, которая отвечает на веб-перехватчик. См., например, этот пост в блоге, Что можно и чего нельзя делать с веб-перехватчиками: что мы узнали после интеграции +100 API (restful.io). Twitter и Stripe делают нечто подобное:

• Защита веб-перехватчиков (twitter.com )
• Проверка подписей Webhook(stripe.com)

Чтобы описанный выше подход работал, если вы используете шлюз API, вам необходимо убедиться, что заголовок, содержащий хеш-подпись, пересылается как часть аргумента event в лямбда-выражение. Для этого следуйте этим инструкциям: Как мне передавать пользовательские заголовки через Amazon API Gateway в функцию AWS Lambda, используя пользовательскую интеграцию Lambda для дальнейшей обработки? (amazon.com)

Я не смог найти способ сделать это с помощью API Gateway. Я проверил в LAMBDA, используя (Python).

Общий обзор: вычислите подпись HMAC с помощью GITHUB_SECRET, затем сравните с подписью, переданной из Github.

Вы можете, очевидно, упростить, намеренно многословно для удобства чтения. Возможно, есть лучшие способы, но я не нашел.

Убедитесь, что ваш Webhook настроен для application/json. Надеюсь, это поможет кому-то другому.

import logging
import json
import hmac
import hashlib
import re
from urllib.parse import unquote

logger = logging.getLogger(__name__)
logger.setLevel(logging.DEBUG)

GITHUB_SECRET = 'SECRET FROM GITHUB CONSOLE'


def lambda_handler(event, context):
    logger.info("Lambda execution starting up...")

    incoming_signature = re.sub(r'^sha1=', '', event['headers']['X-Hub-Signature'])
    incoming_payload = unquote(re.sub(r'^payload=', '', event['body']))
    calculated_signature = calculate_signature(GITHUB_SECRET, incoming_payload.encode('utf-8'))

    if incoming_signature != calculated_signature:
        logger.error('Unauthorized attempt')
        return {
            'statusCode': 403,
            'body': json.dumps('Forbidden')
        }

    logger.info('Request successfully authorized')

    # do stuff in Lambda

    return {
        'statusCode': 200,
        'body': json.dumps(f'Work in progress')
    }


def calculate_signature(github_signature, githhub_payload):
    signature_bytes = bytes(github_signature, 'utf-8')
    digest = hmac.new(key=signature_bytes, msg=githhub_payload, digestmod=hashlib.sha1)
    signature = digest.hexdigest()
    return signature