Заметки
Как отличить входящий вебхук, исходящий вебхук и OAuth-приложение
Как отличить входящий вебхук, исходящий вебхук и OAuth-приложение: Где что использовать, права и безопасность.
Где что использовать, права и безопасность. Главное — не подменять технические сущности похожими названиями: сначала понять, какие ID, права и типы данных участвуют в задаче, а уже потом вызывать REST-метод или писать обработчик.
Задача
Эта заметка про ситуацию «как отличить входящий вебхук, исходящий вебхук и oauth-приложение». В Битрикс24 такие задачи часто выглядят простыми в интерфейсе, но через REST или коробочный код упираются в технические ID, права и связанные сущности.
В интерфейсе это может быть одна кнопка, поле или запись в таймлайне. В коде почти всегда появляются дополнительные слои: REST-метод, права приложения, формат поля, связанная сущность и системные ID.
Поэтому перед автоматизацией лучше сделать маленький тестовый запрос и посмотреть реальный ответ портала, а не опираться только на название поля в карточке.
Рабочий подход
Для событий и вебхуков сначала сделайте входной лог: метод запроса, заголовки, тело, время получения и ID сущности. После этого переносите бизнес-логику в очередь или отдельный обработчик.
Для устойчивой интеграции полезно разделять чтение, нормализацию и запись. Сначала получаем данные, затем приводим их к понятному внутреннему формату, и только после этого вызываем метод изменения.
Если операция может затронуть существующие данные, перед записью сохраните исходное состояние или сделайте снимок. Это особенно важно для товарных строк, мультиполей, пользовательских полей и событий удаления.
Нюансы
Обработчик должен быть идемпотентным: повтор события не должен создавать дубли. Публичный URL нужно защищать подписью, секретом или другим доступным механизмом.
- Проверяйте scope приложения или вебхука до отладки бизнес-логики.
- Не храните секреты, входящие вебхуки и access token во frontend-коде.
- Для повторяемых операций добавляйте логирование и защиту от дублей.
- Для коробки учитывайте, что часть задач проще решить через D7, но такие решения нужно проверять после обновлений.
Главный ориентир: сначала определить точную сущность и формат данных, потом выбрать метод. Большинство ошибок возникает не из-за REST как такового, а из-за смешения похожих ID и типов значений.