security - 将交易发布到 PayPal 和安全性

Question

PayPal 有一种方法，我们可以通过表单将交易发布到 PayPal。

有人构造我们的表单并一遍又一遍地发布到 PayPal 是不可能的吗？

我知道不会发生真正的伤害，因为他们必须在 PayPal 上输入他们的 CC 信息才能继续，但他们可能会通过发布数百个虚假交易来造成很多麻烦。

有什么办法可以防止这种情况发生吗？

PayPal 是否有任何内容告诉它只接受来自特定网站/页面的表单帖子？

Answer 1

如果您指的是他们的 NVP API，那么 PayPal's documentation告诉您他们如何避免该问题(称为“重放攻击”，因为攻击者正在重放合法用户发送的相同数据)。发布应用程序必须发送用户名、密码和签名，开发人员不得将其透露给任何人，并且作为 API 程序的一部分通过安全传输发送。试图冒充开发者的攻击者不知道用户名、密码或签名，也无法向 PayPal 提交虚假请求。

这并不能阻止攻击者滥用应用程序的输入(即应用程序用户看到的浏览器页面，这会导致应用程序发出 PayPal 请求)，这取决于您:-)。