javascript - Stripe 安全问题

Question

我目前正在将 Stripe 整合到我的在线商店中。正如您在下面的代码中看到的，付款表单被插入到 HTML 中，其中包含每个表单字段的值。这意味着用户基本上可以更改该字段的价格，并进行欺诈。

这安全吗？如果没有，我该如何添加安全措施？

谢谢! :)

<form action="" method="POST">
  <script
    src="https://checkout.stripe.com/checkout.js" class="stripe-button"
    data-key="deleted_for_demonstration"
    data-amount="2000"
    data-name="Demo Site"
    data-description="2 widgets ($20.00)"
    data-image="/128x128.png">
  </script>
</form>

Answer 1

我假设您使用的是 Stripe.JS，在这种情况下您不需要在表格中使用价格。

我会尝试更改您的代码以使其像下面这样流动...

例如...

用户通过产品页面上的发布请求选择产品 ID 123。然后您存储他们在 session 中选择了该产品。

结帐时...

在前端的卡片详细信息上使用 stripe JS，将表单卡片详细信息换成 token 。

将此 token 发布到服务器。

网络服务器然后根据 session 中的产品计算金额，使用 mysql 表获取它们的价格，然后将其与返回的 token 一起提交到 stripe 以处理付款。

希望这是有道理的...