asp.net - Paypal 通知 : What to look for

Question

我使用 PayPal 作为支付网关。我在查询字符串的 notify_url 参数中传递我网站的一个不可浏览页面的地址，以及其他信息。在我的通知页面上收到来自 PayPal 服务器的 ping 后，我会采取适当的措施将用户标记为成员(member)。

现在我想问的问题是:如果有人从原始查询字符串中读取了 notify_url 参数的值，并使用伪造的交易 ID、金额等从他的浏览器手动 ping 该页面怎么办？我该怎么办确保此调用实际上来自 PayPal 服务器？

我想到的一个初步检查是检查 Request.UserHostAddress 并将其与 PayPal server's IP address 进行比较.我实现了这个，但仍然想听听专家的意见。它足够安全吗？人们可以在调用网页时伪造 UserHostAddress 吗？

Answer 1

如果我知道这叫做欺骗，我早就用谷歌搜索了。从 PayPal 本身(这里是 link )，他们提供了一种简单(回发)和复杂(共享 key )的方式来确保通知实际上是由 PayPal 转发的。