app.post('/webhooks/p2p',
  express.raw({ type: 'application/json' }),   // ต้องเก็บ raw body ไว้
  async (req, res) => {
    const raw = req.body.toString('utf8')
    const body = JSON.parse(raw)

    // 1) timestamp ก่อน ถูกกว่าคำนวณ HMAC
    //    x-timestamp ของ webhook เป็น "วินาที" (10 หลัก) ไม่ใช่มิลลิวินาที
    //    คนละหน่วยกับ x-timestamp ตอนที่เราเรียก API ของระบบ
    const ts = req.header('x-timestamp') ?? ''
    if (!ts || Math.abs(Date.now() / 1000 - Number(ts)) > 300) {
      return res.sendStatus(401)
    }

    // 2) ลายเซ็นครอบเฉพาะ object data
    const expected = 'sha256=' + crypto
      .createHmac('sha256', process.env.WEBHOOK_SECRET)
      .update(`${ts}.${JSON.stringify(body.data)}`)
      .digest('hex')

    const got = req.header('x-signature') ?? ''
    if (got.length !== expected.length ||
        !crypto.timingSafeEqual(Buffer.from(got), Buffer.from(expected))) {
      logger.warn({ event: body.event }, 'bad signature')
      return res.sendStatus(401)
    }

    // 3) dedup ที่ x-idempotency-key เท่านั้น (unique index บนคอลัมน์นี้)
    const key = req.header('x-idempotency-key')
    const { rowCount } = await db.query(
      `INSERT INTO webhook_inbox (idempotency_key, event, payload)
        VALUES ($1, $2, $3) ON CONFLICT (idempotency_key) DO NOTHING`,
      [key, body.event, raw],
    )
    if (rowCount === 0) return res.sendStatus(200)   // เคยรับแล้ว ไม่ทำซ้ำ

    // 4) ตอบก่อน แล้วค่อยประมวลผล
    await queue.add('p2p-webhook', { key })
    return res.sendStatus(200)
  })

// event ปลายทางชนะเสมอ — webhook ไม่รับประกันลำดับ
const RANK = {
  WITHDRAWAL_PARTIALLY_FUNDED: 1,
  PAYMENT_PAID: 2,
  PAYMENT_FAILED: 2,
  WITHDRAWAL_COMPLETED: 3,
  WITHDRAWAL_COMPLETED_PARTIALLY: 3,
  WITHDRAWAL_REJECT: 3,
}

async function handle({ key }) {
  const { event, payload } = await inbox.get(key)
  const data = JSON.parse(payload).data

  await db.tx(async (tx) => {
    const order = await tx.selectForUpdate(orderIdOf(data))   // row lock ต่อ 1 รายการ

    if (RANK[event] < RANK[order.last_event ?? '']) return    // ของเก่ามาช้า → ทิ้ง

    switch (event) {
      case 'PAYMENT_PAID':
        await tx.credit(order, data.payment.amount); break
      case 'WITHDRAWAL_PARTIALLY_FUNDED':
        await tx.updateProgress(order, data.progress); break  // แสดงผลอย่างเดียว
      // event ปลายทางทั้งสามตัวใช้ทางเดียวกัน แยกด้วย outcome.result ไม่ใช่ชื่อ event
      case 'WITHDRAWAL_COMPLETED':
      case 'WITHDRAWAL_COMPLETED_PARTIALLY':
      case 'WITHDRAWAL_REJECT':
        await tx.settle(order, data.summary.withdrawer_received)          // 0 ได้
        await tx.refundCustomer(order, data.summary.withdrawer_pending_refund ?? 0)
        break                                                             // ห้ามใช้ agent_refunded ตรงนี้
    }
    await tx.setLastEvent(order, event)
  })
}