c# - 使用 WorldPay 验证支付金额

Question

我们使用 WorldPay 来处理分级成员(member)系统的付款，付款金额根据所选的成员(member)级别而有所不同。

付款通过来自许多隐藏字段的表单邮寄传递给 WorldPay，包括:

<input type="hidden" name="amount" value="295.00" />

本质上，表单是通过 POST 提交给 WorldPay 的，用户按照一系列步骤来处理他们的付款。完成后，用户将被重定向到指定的确认页面。

这似乎是 WorldPay 接受付款的典型方式。这里有一个明显的问题，隐藏字段的值很容易被具有 HTML 基本知识的任何人篡改。表单直接发布到 WorldPay，因此我们没有 PostBack 来根据成员(member)级别验证金额。

我们可以选择在 WorldPay 向我们返回付款通知时验证付款金额，方法是在确认页面之前通过处理程序路由回调；但是，我想避免用户提交篡改的表格、支付不正确的金额并且没有获得成员(member)资格，然后必须联系公司以退还他们的钱的情况。

在处理付款之前，我们如何验证提交的金额是否正确？

更新

我想到我们还有一个额外的问题，即即使我们在服务器端验证表单发布，也无法阻止恶意用户将表单直接发送到 WorldPay。

Answer 1

这确实是一个漏洞，使用签名可以轻松解决。查看此链接:

http://culttt.com/2012/07/25/integrating-worldpay-into-a-database-driven-website/

这种方法应该在帮助页面上更好地推广，太糟糕了。