php - 如何确保 Stripe webhook 的安全性？

Question

我会创建 Stripe 网络 Hook ，并想知道如何确保安全性以便只有 Stripe 可以访问我的 URL？

我将 Laravel 与 Stripe 库一起使用。

Answer 1

如 the documentation 中所述:

If security is a concern, or if it's important to confirm that Stripe sent the webhook, you should only use the ID sent in your webhook and should request the remaining details from the Stripe API directly. We also advise you to guard against replay-attacks by recording which events you receive, and never processing events twice.

换句话说，无法确认请求的来源。因此，不要相信它的任何数据，除了任何给定项目的 ID。然后您自己联系 Stripe API，请求具有给定 ID 的项目。这样您就知道您从哪里获取数据，而 webhook 调用本质上只是一个通知，让您知道您应该使用 API checkin 。