保護支付網關POST

我在我們的網站上建立了一個支付網關，我們可以通過php發佈信息（因此所有信息都是隱藏的），這些信息將發佈到authorize.net，發回到我們的網關併發回到我們當前的頁面。這樣做的目的是爲我們提供一種簡化的處理付款方式和更容易調試的方法。保護支付網關POST

我有一個認證密鑰，需要發佈到我們的網關，以處理交易。爲了確保獲得批准的URL能夠接受來自其中的帖子或者是否容易被操縱，這對我是否值得？

對於我應該關注什麼來保護我的網關，您有什麼其他想法嗎？

更新

該網關具有用於authorize.net登錄/密鑰對向本所提交。我有一個64位的md5編碼密鑰，我用domain.com與gateway.domain.com通信，當然這發生在SSL上。我在詢問這個密鑰是否足夠。鑑於任何擁有該密鑰的人都可以進行交易，但爲什麼他們......只會給我們錢。

來源

2010-10-26 Webnet

只是想澄清 - 您正在自己的服務器上設置一個php端點，並且您的支付網關將發送POST請求到該端點以表示交易完成？我可能會誤解這一點，因爲這是一個不尋常的電子商務設置，但如果我確實瞭解它，那麼我不知道你會在哪裏找到「傳入的URL」 - 在這種情況下並不意味着太多。實際上，如果您從網關接受POST，網關需要爲您提供一些憑證 - 這取決於系統，但可能在某處存在身份驗證令牌。 – 2010-10-26 19:03:06

允許的URL列表將做的很少，以保護您的網關：

 
curl -H "Referrer: http://happy.example.com" -D "[email protected]&amount=$100,000" http://example.com/gateway.php

你應該使用類似OAuth的，其中每個請求包含唯一令牌，只有授權的演員可以提供看看。

另外請記住，發佈數據只提供安全性的錯覺。查看發佈的數據很容易（不重要）。

哦，這應該是一個不費吹灰之力，但請確保您使用的是SSL。

來源

2010-10-26 19:20:29

我提供了更多關於我們設置的細節。如果我正確地理解了OAuth，似乎並不是正確的解決方案。 – Webnet 2010-10-26 20:03:20

啊，我明白了：既然你控制了'domain.com'，那麼這個鍵就沒事了（畢竟，如果'domain.com'被攻破了，無論如何你都會遇到麻煩）。如果您想要額外的安全層，您還可以使用防火牆或其他基於IP的過濾來限制對「gateway.domain.com」的訪問（即，只有'domain.com'服務器才能訪問它）。 – 2010-10-26 21:41:48

保護支付網關POST

回答

相關問題