Как в QIWI API при помощи SDK проверить целостность хеша и ответить, что все правильно?

Подпись уведомления отправляется в заголовке X-Api-Signature-SHA256. Для формирования подписи используется механизм проверки целостности HMAC с хэш-функцией SHA256.

Алгоритм проверки подписи:

1) Объединить значения параметров в одну строку с разделителем |:

invoice_parameters = {amount.currency}|{amount.value}|{billId}|{siteId}|{status.value}

где {*} – значение параметра уведомления. Все значения при проверке подписи должны трактоваться как строки.

2) Вычислить HMAC-хэш c алгоритмом хэширования SHA256:

hash = HMAС(SHA256, secret_key, invoice_parameters) Где:

secret_key – ключ функции ;
invoice_parameters – строка из п.1;
3)Сравнить значение заголовка X-Api-Signature-SHA256 с результатом из п.2.

<?php

$validSignatureFromNotificationServer = '07e0ebb10916d97760c196034105d010607a6c6b7d72bfa1c3451448ac484a3b';
$notificationData = [
  'bill' => [
    'siteId' => 'test',
    'billId' => 'test_bill',
    'amount' => ['value' => 1, 'currency' => 'RUB'],
    'status' => ['value' => 'PAID']
  ],
  'version' => '3'
];
$merchantSecret = 'test-merchant-secret-for-signature-check';

/** @var \Qiwi\Api\BillPayments $billPayments */
$billPayments->checkNotificationSignature(
  $validSignatureFromNotificationServer, $notificationData, $merchantSecret
); // true

?>

После того, как был получен входящий запрос-уведомление, необходимо проверить подлинность цифровой подписи и отправить ответ в формате JSON. В ответе должен вернуться код результата обработки уведомления. Код результата должен находиться в параметре error.

// тут обрабатываете то, что пришло в запросе и валидируете хэш. 
$isValidSignature = $billPayments->(...) ;
$errorCode = 0;
if(! $isValidSignature) {
    $errorCode = 400; // тут нужно посмотреть в документации какие коды они принимают. Здесь для примера http bad request 
} 

echo json_encode([
    'error' => $errorCode
]) ;