Depot決済

// 1. APIで決済を作成
const response = await fetch('https://api.sandbox.zafapay.com/v1/payments', {
  method: 'POST',
  headers: {
    'Authorization': 'Bearer YOUR_ACCESS_TOKEN',
    'Content-Type': 'application/json'
  },
  body: JSON.stringify({
    amount: 1000,             // 円単位の整数のみ（小数は不可）
    currency: 'jpy',          // DepotはJPYのみ対応
    payment_method: 'depot',
    external_id: 'order12345',
    product_name: 'Premium Plan',
    customer_id: 'cust001',   // 半角英数字のみ
    email: 'customer@example.com',
    tel: '08000000000',
    success_url: 'https://example.com/checkout/success',
    failure_url: 'https://example.com/checkout/failed',
    cancel_url: 'https://example.com/checkout/cancel'
  })
});

const payment = await response.json();

// 2. 顧客をDepot決済ページにリダイレクト
window.location.href = payment.payment_url;

// Webhookハンドラー
app.post('/webhooks/zafapay', express.raw({ type: 'application/json' }), (req, res) => {
  // Sandboxと本番では署名ヘッダー名が異なる。両方を読まないと
  // sandbox 連携では全コールバックが検証に失敗する
  const signature =
    req.headers['x-zafapay-signature'] || req.headers['x-zafapay-signature-sandbox'];

  // 何かを信用する前に、生のボディに対して署名を検証する。
  // verifyWebhookSignature の実装は Webhook リファレンス参照
  if (!verifyWebhookSignature(req.body, signature, secret)) {
    return res.status(401).json({ error: 'Invalid signature' });
  }

  const { event, transaction_id, external_id, amount, currency } = JSON.parse(req.body);

  if (event === 'payment.succeeded') {
    // Webhookは複数回配信される可能性があるため、transaction_id を冪等キーにする
    await markOrderPaid({ transaction_id, external_id, amount, currency });
  }

  res.json({ received: true });
});