Аудит 148 обработчиков вебхуков Razorpay: 6% обрабатывают платёж дважды

Разработчик проверил 148 публичных обработчиков вебхуков Razorpay на GitHub: минимум 9 (6%) повторно выполняют побочный эффект при повторной доставке события, ещё 7 — под вопросом. Пять из девяти меняют денежные значения, например начисляют бонусные монеты на каждый payment.captured, а 9 обработчиков вообще не проверяют подпись.

• 9 из 148 обработчиков (6%) неидемпотентны при повторной доставке вебхука
• 5 из 9 меняют денежные значения: кошелёк, amount_paid_paise, выплаты
• 9 обработчиков (6%) не проверяют подпись вебхука Razorpay
• Автор выпустил CLI carbon-layer для тестов повторов и порядка событий