WhatsApp webhook: receiving messages, with code

export default {
  async fetch(request, env) {
    const url = new URL(request.url);
    if (url.pathname !== '/webhook') return new Response('no ar');

    // Verificacao: a Meta chama uma vez, quando voce cadastra o endereco.
    if (request.method === 'GET') {
      const ok = url.searchParams.get('hub.mode') === 'subscribe'
        && url.searchParams.get('hub.verify_token') === env.VERIFY_TOKEN;
      return ok
        ? new Response(url.searchParams.get('hub.challenge'))
        : new Response('token errado', { status: 403 });
    }

    if (request.method !== 'POST') return new Response('metodo nao permitido', { status: 405 });

    const corpo = await request.text();
    const assinatura = request.headers.get('x-hub-signature-256');
    if (!(await assinaturaConfere(corpo, assinatura, env.APP_SECRET))) {
      return new Response('assinatura invalida', { status: 401 });
    }

    // Confirmacao de entrega chega aqui tambem, sem messages. Ignore.
    const valor = JSON.parse(corpo)?.entry?.[0]?.changes?.[0]?.value;
    const mensagem = valor?.messages?.[0];
    if (mensagem) console.log('mensagem de', mensagem.from, mensagem.text?.body);
    return new Response('ok');
  },
};

// Sem esta conferencia, qualquer um manda mensagem falsa pro seu endereco.
async function assinaturaConfere(corpo, cabecalho, segredo) {
  if (!cabecalho || !segredo) return false;
  const chave = await crypto.subtle.importKey(
    'raw', new TextEncoder().encode(segredo),
    { name: 'HMAC', hash: 'SHA-256' }, false, ['sign'],
  );
  const assinado = await crypto.subtle.sign('HMAC', chave, new TextEncoder().encode(corpo));
  const esperado = 'sha256=' + [...new Uint8Array(assinado)]
    .map((b) => b.toString(16).padStart(2, '0')).join('');

  // Comparacao de tempo constante.
  if (esperado.length !== cabecalho.length) return false;
  let diferenca = 0;
  for (let i = 0; i < esperado.length; i += 1) {
    diferenca |= esperado.charCodeAt(i) ^ cabecalho.charCodeAt(i);
  }
  return diferenca === 0;
}

npm create cloudflare@latest atendente -- --type=hello-world
cd atendente
npx wrangler secret put VERIFY_TOKEN
npx wrangler secret put APP_SECRET
npx wrangler deploy