Init Data

import { retrieveInitData } from '@exode-team/sdk/miniapp'

const initData = retrieveInitData()
// строка вида "auth_date=…&page_id=…&school_id=…&user=…&hash=…"

await fetch('/api/session', {
  method: 'POST',
  headers: { 'X-Exode-Init-Data': initData ?? '' },
})

import { verifyInitData } from '@exode-team/sdk/miniapp/server'

const payload = verifyInitData(initData, {
  secret: process.env.EXODE_PAGE_SECRET!,
  maxAgeSec: 86_400, // окно валидности auth_date, по умолчанию 24 часа
})

payload.pageId    // id страницы
payload.schoolId  // id школы
payload.authDate  // unix-секунды выпуска
payload.user      // { id, firstName, lastName, avatar, language } | null для гостя

data_check_string = отсортированные по ключу пары "key=value" всех полей,
                    кроме hash, соединённые "\n" (значения URL-декодированные)
secret_key = HMAC_SHA256(key = "ExodeMiniApp", message = секрет_страницы)
hash       = hex( HMAC_SHA256(key = secret_key, message = data_check_string) )

const crypto = require('crypto')

function verify(initData, secret) {
  const params = new URLSearchParams(initData)
  const hash = params.get('hash')

  params.delete('hash')

  const dcs = [...params.keys()].sort()
    .map((k) => `${k}=${params.get(k)}`)
    .join('\n')

  const secretKey = crypto.createHmac('sha256', 'ExodeMiniApp').update(secret).digest()
  const check = crypto.createHmac('sha256', secretKey).update(dcs).digest('hex')

  return check === hash
}