Update app.py

app.py

@@ -1022,6 +1022,25 @@ def get_order_monitop():
 
 
 
+
+# Функция для валидации подписи ВК приложения
+def is_valid(*, query: dict, secret: str) -> bool:
+    """Check VK Apps signature"""
+    # Отфильтровываем параметры, начинающиеся с "vk_"
+    vk_subset = OrderedDict(sorted((k, v) for k, v in query.items() if k.startswith("vk_")))
+    logging.debug(f"Filtered VK params: {vk_subset}")
+    
+    # Объединяем параметры в строку
+    encoded_params = urlencode(vk_subset, doseq=True)
+    logging.debug(f"Encoded params: {encoded_params}")
+    
+    # Вычисляем хеш-код с использованием HMAC и SHA256
+    hash_code = b64encode(HMAC(secret.encode(), encoded_params.encode(), sha256).digest())
+    decoded_hash_code = hash_code.decode('utf-8')[:-1].replace('+', '-').replace('/', '_')
+    logging.debug(f"Calculated signature: {decoded_hash_code}")
+    
+    # Сравниваем с переданной подписью
+    return query.get("sign") == decoded_hash_code
 
 # Чтение ордера по ключу и ВК ИД для приложения
 @app.route('/get_order', methods=['POST'])
@@ -1037,12 +1056,23 @@ def get_order():
 
         logging.debug(f"Received data: vk_id={vkid}, order={order}, apps_id={apps_id}, fullUrl={fullUrl}")
 
+        # Проверка подписи для приложения
+        if str(apps_id) not in api_key_apps_vk:  # Приводим apps_id к строке
+            logging.error("Invalid apps_id")
+            return json.dumps({"error": "Invalid apps_id"}), 400
+
+        secret = api_key_apps_vk[str(apps_id)]  # Приводим apps_id к строке
+        logging.debug(f"Using secret: {secret}")
+
         # Парсим полный URL для получения параметров запроса
-        parsed_url = urlparse(fullUrl)
-        logging.debug(f"Parsed URL: {parsed_url}")
-        query_params = dict(parse_qsl(parsed_url.query, keep_blank_values=True))
+        query_params = dict(parse_qsl(urlparse(fullUrl).query, keep_blank_values=True))
         logging.debug(f"Query params for signature check: {query_params}")
 
+        # Проверяем подпись
+        if not is_valid(query=query_params, secret=secret):
+            logging.error("Invalid signature")
+            return json.dumps({"error": "Invalid signature"}), 400
+
         # Подключаемся к базе данных
         conn = sqlite3.connect(DATABASE_NEW)
         cursor = conn.cursor()