代码之家 › 专栏 › 技术社区 › Ben

保护支付网关

postback security

Ben · 技术社区 · 14 年前

我在我们的网站上设置了一个支付网关,我们可以通过php发布信息(这样所有的信息都是隐藏的,以防窥探者的眼睛),然后发布到授权.net,返回到我们的网关并返回到当前页面。这样做的目的是为我们提供一种简化的付款处理方法和更容易的调试。

我有一个身份验证密钥,需要发布到我们的网关才能处理事务。对我来说,保护一个批准的URL列表以接受发帖是值得的,还是太容易被操纵了?

你有什么其他的想法,我应该集中在什么方面,以确保我的大门?

更新

此网关有一个用于授权.net它服从的。我有一个用于 domain.com 与…交流 gateway.domain.com

1 回复 | 直到 14 年前

David Wolever 14 年前

批准的URL列表对保护您的网关几乎没有任何作用:

curl -H "Referrer: http://happy.example.com" -D "pay_to=evil@example.com&amount=$100,000" http://example.com/gateway.php

您应该看看使用OAuth之类的东西,其中每个请求都包含一个只有授权参与者才能提供的惟一令牌。

还要记住,过帐数据只提供幻觉安全。很容易(不,无关紧要)查看发布了什么数据。

推荐文章

Steven Fry · ASP.NET中的两个回发按钮

8 年前

Junior · 无法取消选中带有回发的复选框

10 年前

Gino Perla · 我需要处理回邮件吗?

10 年前

Sriram · Jenkins configSubmit postBack中止

10 年前

Sri · 在ajax错误时停止回发

11 年前

SausageBuscuit · 按下后退按钮时触发ASP.NET按钮事件

11 年前

Nick · 在MVC4中绑定包含列表的字典

11 年前

viv_acious · 动态控件回发更新面板

12 年前

sevenkul · 如何在客户端知道是否发生了回发?

12 年前