ما هو الـ webhook؟
الـ webhook طلب HTTP ترسله خدمة ما إلى عنوان تسجّله عندما يحدث شيء — تسوية دفعة، أو تسليم رسالة، أو انتهاء بناء — فيتفاعل نظامك مع الأحداث بدلاً من الاستطلاع المتكرر. اختباره يعني التقاط ما يُرسَل فعلياً (الأسلوب والترويسات والجسم)، وفحص إعادة المحاولة والترتيب، والتحقق من التوقيع الذي يثبت أن النداء جاء من المرسِل.
ملاحظة أمنية: نقطة نهاية الـ webhook عنوان عام يمكن لأي شخص الإرسال إليه. تحقق من توقيع المرسِل (عادةً HMAC على الجسم الخام) بمقارنة ثابتة الزمن، وارفض الطوابع الزمنية القديمة، وتعامل مع الحمولة كمدخل غير موثوق.
اقرأ الدليل: ما هو اختبار API؟ وكيف تختبر REST API
كيفية استخدام فاحص جسم الطلب
- أنشئ عنوان URL للالتقاط.
- أرسل الطلب من تطبيقك أو باستخدام cURL.
- اختره — يعرض تبويب الجسم الجسم المحلّل والخام جنباً إلى جنب.
مزايا فاحص جسم الطلب
- يلتقط أجسام POST/PUT/PATCH كما أُرسلت بالضبط: البايتات الخام والحجم وContent-Type
- JSON منسّق وكشجرة؛ وform-urlencoded مفكوك الترميز إلى حقول؛ وXML معروض كنص
- يُفتح تبويب الجسم افتراضياً؛ مع الإشارة إلى الاقتطاع
- استخراج الحقول المهمة والطوابع الزمنية من أجسام JSON
- نسخ الحمولة أو أمر cURL يعيد إنتاج الطلب
مثال على فاحص جسم الطلب
إرسال نموذج
الإدخال:
POST … Content-Type: application/x-www-form-urlencoded
name=Layla&plan=pro&agree=onالنتيجة:
Form fields
{
"name": "Layla",
"plan": "pro",
"agree": "on"
}
32 B · application/x-www-form-urlencodedالأسئلة الشائعة حول فاحص جسم الطلب
ما أنواع الأجسام التي يُفكّ ترميزها؟
يُنسَّق JSON ويُعرض كشجرة، ويُفكّ ترميز application/x-www-form-urlencoded إلى حقول، ويُعرض XML كنص؛ وكل شيء متاح أيضاً بصيغته الخام.
ما الحجم الأقصى للجسم؟
يحتفظ الالتقاط بأول 256 كيلوبايت من كل جسم ويعلّم ما يزيد على ذلك بأنه مقتطع. أما الطلبات التي يتجاوز جسمها 4 ميغابايت فتُرفض بالحالة 413 Content Too Large ولا تُلتقط.
هل يمكنني التحقق مما يرسله تطبيقي فعلياً؟
نعم — هذا هو الغرض تحديداً: قارن البايتات الخام وContent-Type والحجم بما كان كودك ينوي إرساله.
المراجع
- RFC 9421: HTTP Message Signaturesطريقة قياسية لتوقيع رسائل HTTP بحيث يتحقق المستلم من مصدرها وسلامتها — أساس توقيعات webhook الحديثة.
- RFC 2104: HMAC: Keyed-Hashing for Message Authenticationبناء HMAC: كيف يُنتج مفتاح سري ودالة تجزئة رمز مصادقة للرسالة.
- OWASP Cheat Sheet Series: REST Securityالقواعد الأمنية لواجهات REST: HTTPS، والتوثيق في كل طلب، والتحقق من المدخلات، واستجابات الخطأ الآمنة، وتحديد المعدل.