Как защититься от дублей REST-событий

Задача

Эта заметка про ситуацию «как защититься от дублей rest-событий». В Битрикс24 такие задачи часто выглядят простыми в интерфейсе, но через REST или коробочный код упираются в технические ID, права и связанные сущности.

В интерфейсе это может быть одна кнопка, поле или запись в таймлайне. В коде почти всегда появляются дополнительные слои: REST-метод, права приложения, формат поля, связанная сущность и системные ID.

Поэтому перед автоматизацией лучше сделать маленький тестовый запрос и посмотреть реальный ответ портала, а не опираться только на название поля в карточке.

Рабочий подход

Для событий и вебхуков сначала сделайте входной лог: метод запроса, заголовки, тело, время получения и ID сущности. После этого переносите бизнес-логику в очередь или отдельный обработчик.

Для устойчивой интеграции полезно разделять чтение, нормализацию и запись. Сначала получаем данные, затем приводим их к понятному внутреннему формату, и только после этого вызываем метод изменения.

Если операция может затронуть существующие данные, перед записью сохраните исходное состояние или сделайте снимок. Это особенно важно для товарных строк, мультиполей, пользовательских полей и событий удаления.

Пример

Код ниже — не универсальная готовая интеграция, а опорный пример формата запроса или обработки данных.

function buildEventKey(array $event): string
{
    return sha1(($event['event'] ?? '') . '|' . ($event['data']['FIELDS']['ID'] ?? '') . '|' . ($event['ts'] ?? ''));
}

Перед использованием замените ID, названия полей и права под конкретный портал. Для массовых операций сначала проверьте поведение на одном тестовом элементе.

Нюансы

Обработчик должен быть идемпотентным: повтор события не должен создавать дубли. Публичный URL нужно защищать подписью, секретом или другим доступным механизмом.

Проверяйте scope приложения или вебхука до отладки бизнес-логики.
Не храните секреты, входящие вебхуки и access token во frontend-коде.
Для повторяемых операций добавляйте логирование и защиту от дублей.
Для коробки учитывайте, что часть задач проще решить через D7, но такие решения нужно проверять после обновлений.

Главный ориентир: сначала определить точную сущность и формат данных, потом выбрать метод. Большинство ошибок возникает не из-за REST как такового, а из-за смешения похожих ID и типов значений.