javascript - 在 PayPal 和 Stripe 中使用 Javascript 设置的付款金额

Question

我一直在使用 Stripe 和 PayPal PHP API 来实现支付。使用 JS API 对我来说仍然有点神秘。以 Braintree Sofort/Klarna 中的这段代码为例:

function createLocalPaymentClickListener(type) {
    return function (event) {
        event.preventDefault();

        localPaymentInstance.startPayment({
              paymentType: type,
              amount: '10.67'
            ...
        }
    };
}

10.67 的金额是通过 Javascript 设置的，在用户单击 Sofort 付款按钮后我无法确认此金额，因为打开了一个叠加层并且大部分付款由 PayPal 处理/然后是克拉纳。仅返回支付 token 。对此有所了解的用户可以轻松操纵此金额并支付他/她自己设置的不同金额。

我如何确保此金额无法更改？

Answer 1

您是对的，通过更简单的客户端集成，恶意客户端通常可以更改他们要批准的金额。除了切换到更多服务器端集成方案之外，没有任何防范措施，其中金额是在对支付网关的 API 调用中设置的。

但是，客户设置他们要批准的金额不一定是个问题。以 Braintree 为例，实际捕获(在客户批准后)发生在您的服务器上。因此，如果金额或任何其他细节有误，您可以当场放弃付款，而不继续进行任何实际会创建交易的捕获。