Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Fix webhook signature verification for payloads containing special characters

Abierto
  • ¿Algo no está bien?
#351 3 comentarios 0 reacciones 0 asignados Ver en GitHub

@IamPritamAcharya ya está trabajando en esto.

Desde el 15/4/2026.

  • #352 de @IamPritamAcharya — abierto

Evaluación

Dificultad
3/5
Tiempo estimado
1-2 días
Aptitud para principiantes
65/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Tranquilo
Stack tecnológico
java
Área
security

Línea de trabajo

Comienza en Utils.verifyWebhookSignature e inspecciona cómo se convierten el payload String actual y el secreto del webhook antes de la verificación HMAC. Reproduce el escenario de Scala Play con payloads que contengan caracteres especiales o multibyte y, después, verifica que la entrada de bytes sin procesar y el manejo explícito de UTF-8 produzcan la firma esperada sin cambiar el comportamiento con ASCII válido.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

In certain environments, such as Scala Play 2.8/2.9, Utils.verifyWebhookSignature may return false for valid webhook requests when the payload contains special characters or multi-byte text. The issue appears to come from the SDK accepting only a String, while framework-level parsing can alter the raw request body before verification.

Problem

Utils.verifyWebhookSignature currently accepts only a String.

This issue is especially likely when a user uses a framework such as Play to read the request body into a String before passing it to the SDK, since webhook validation is safest when performed on the raw body bytes rather than a parsed or re-encoded string.

Reproduction

  1. Receive a Razorpay webhook containing special characters or multi-byte characters in fields such as customer name or notes.
  2. Parse the HTTP body as a String in Scala Play.
  3. Pass the resulting string to Utils.verifyWebhookSignature(...).
  4. Observe that the method returns false even though the webhook is valid.

Proposed Fix

1. Add an overload that accepts raw bytes

Introduce a new method in Utils that accepts byte[] so developers can pass the raw request body directly:

public static boolean verifyWebhookSignature(byte[] payload, String expectedSignature, String webhookSecret) throws RazorpayException {
    // Use raw bytes directly to avoid encoding issues
}
2. Use UTF-8 explicitly in string-based hashing

Update the existing implementation so string payloads are always converted using UTF-8:

// Current
byte[] hash = sha256_HMAC.doFinal(payload.getBytes());

// Proposed
byte[] hash = sha256_HMAC.doFinal(payload.getBytes(UTF-8));
//Similar charset as used for encoding the webhook secret to bytes

This makes the behavior deterministic across environments and avoids platform-dependent failures.

Why This Matters

Razorpay’s webhook validation flow depends on the exact payload used to generate the HMAC signature. Any transformation of the request body — including charset conversion, normalization, or parsing into a framework-specific string type — can break verification. A byte-array overload would let developers verify the webhook against the exact raw request body, which is the safest approach for cryptographic checks.

Related Reference

A similar webhook signature verification issue has already been documented here Python SDK, Issue 65, where valid webhook signatures failed to verify in real-world setups.

I am happy to submit a PR for this if the approach is approved.

Lenguaje dominante
Java
Estrellas
75
Forks
83
Sin PR fusionados en 30 d

Preparar el entorno

  • Sin Dockerfile ni archivo de Docker Compose
  • Tiene una plantilla de pull request
  • Sin guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de razorpay/razorpay-java

Todos los issues de razorpay/razorpay-java

Issues similares

Más issues de Java

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.