security - PayPal returnURL 安全

Question

总结:我想使用 returnUrl 作为交易已被 PayPal 接受的证明。

我正在实现一个基于 PayPal 的非常基本的购买工作流程。

一切正常，用户点击支付，用户转到 PayPal，PayPal 将用户发送到我的 returnURL...我正在接受付款在这最后一步。

我知道我必须实现一个 IPN 端点并在那里接受付款，但这个项目非常基础，我太老或太懒了，无法实现所有这些异步行为大量的边缘案例。

如果我能让 returnUrl 更自信，更难伪造，那就太好了。

我在想，returnURL 中可能会包含一个基于存储的 key 的校验和 签名在 PayPal 账户和实际交易中 token

我不知道这是否存在，我没有在文档中找到任何此类内容，欢迎任何使 returnUrl 更有信心的建议。

此外，如果有人认为我完全错了，returnUrl 永远不会成为交易已被接受的证据，请表达您的看法。

Answer 1

当您刚刚执行返回 URL 时，您需要再次发布到 PayPal 以使用您的 PDT token 验证交易。

假设您的返回 URL 是 Thanks.aspx:

“从 Thanks.aspx 的代码隐藏中，您将解析 tx 值并使用以下参数向 https://www.paypal.com/cgi-bin/webscr 发出 HTTP POST:cmd=_notify-synch&tx=[TransactionID]&at=[PDTIdentityToken]。 "

这将响应该请求是否有效。

问题是这个页面不一定会被点击。用户可以关闭他们的浏览器，或者他们的互联网可能会被切断，或者其他任何事情。

IPN 会受到 PayPal 服务器的攻击，您真的无法战胜它。

设置起来非常简单，但我建议通读这篇文档，其中将解释 PDT 和 IPN 方法，并提供一种简单的方法来确定您需要什么。

http://www.codeproject.com/Articles/42894/Introduction-to-PayPal-for-C-ASP-NET-developers?msg=4382854#xx4382854xx