---
max_turns: 8
allowed_tools: [Read, Glob, Grep, Skill]
tags: [mdw]
---

CLAUDE.md gốc của repo tôi đã khoảng 40 KB (Claude Code nạp nó mỗi phiên). Tôi muốn thêm quy tắc này vào, viết giúp tôi nội dung và nói rõ đặt ở đâu:

"Trong thư mục src/webhooks/ có các handler nhận webhook từ Stripe, Momo và ZaloPay. Mỗi handler đều phải verify chữ ký HMAC trước khi parse body, vì nếu parse trước thì body đã bị đổi định dạng và chữ ký sẽ luôn sai, ngoài ra kẻ xấu có thể gửi webhook giả để đánh dấu đơn đã thanh toán. Hàm verify dùng chung nằm ở src/webhooks/verify.ts, tên là verifySignature(provider, rawBody, header). Không được tự viết lại hàm verify trong từng handler. Khi thêm provider mới thì thêm secret vào bảng webhook_secrets chứ không hardcode. Nhớ là body phải lấy dạng raw (express.raw) chứ không phải express.json cho các route này."