Init Data

import { retrieveInitData } from '@exode-team/sdk/miniapp'

const initData = retrieveInitData()
// строка вида "page_id=…&school_id=…&auth_date=…&user=…&session_uuid=…&hash=…"
// null — если страница открыта не из Exode (во fragment нет exodeInitData)

await fetch('/api/session', {
  method: 'POST',
  headers: { 'X-Exode-Init-Data': initData ?? '' },
})

import { verifyInitData } from '@exode-team/sdk/miniapp/server'

// initData — строка, которую прислал браузер (в примере выше — заголовок X-Exode-Init-Data)
const payload = verifyInitData(initData, {
  secret: process.env.EXODE_PAGE_SECRET!,
  maxAgeSec: 86_400, // окно валидности auth_date, по умолчанию 24 часа
})

payload.pageId    // id страницы
payload.schoolId  // id школы
payload.authDate  // unix-секунды выпуска
payload.user      // { id, firstName, lastName, avatar, language } | null для гостя; avatar — URL или null

data_check_string = отсортированные по ключу пары "key=value" всех полей,
                    кроме hash, соединённые "\n" (значения URL-декодированные)
secret_key = HMAC_SHA256(key = "ExodeMiniApp", message = секрет_страницы)
hash       = hex( HMAC_SHA256(key = secret_key, message = data_check_string) )

const crypto = require('crypto')

function verify(initData, secret, maxAgeSec = 86400) {
  const params = new URLSearchParams(initData)
  const hash = params.get('hash') ?? ''

  params.delete('hash')

  const dcs = [...params.keys()].sort()
    .map((k) => `${k}=${params.get(k)}`)
    .join('\n')

  const secretKey = crypto.createHmac('sha256', 'ExodeMiniApp').update(secret).digest()
  const check = crypto.createHmac('sha256', secretKey).update(dcs).digest('hex')

  const valid = hash.length === check.length
    && crypto.timingSafeEqual(Buffer.from(hash), Buffer.from(check))

  const age = Math.floor(Date.now() / 1000) - Number(params.get('auth_date'))

  return valid && age <= maxAgeSec
}