Безопаснй сервис оплат?

Question

[Владимир Шикльгрубер]

Привет. Я сделал у себя один кабинет для всех своих проектов (php ) В итоге получил одну регистрацию и т.д. Теперь в кабинет подключил агрегатор платежей. (теперь есть валюта, которую надо передавать на остальные проекты)
Суть вопроса в том как вообще безопасно такое сделать? (все проекты на разных серверах и т.д.) Интересуют какие проверки делать. (код не надо, а только то какие проверки делать и всё)
Зарание спс

Answer 1

[xmoonlight]

ЛК при пополнении баланса переводит реальные деньги в виртуальные.
По-скольку, у Вас один ЛК на несколько проектов, то пополняйте через команду от пользователя, вызывая меж-серверный обмен данными.
Связка: ID-сервиса и сумма (ID-пользователя, зависит от реализации, по-идее - он не нужен при централизованном ЛК)
Делаете доступ к пополнению только с IP-адресов ЛК площадки, можно еще сделать проверочный hash: md5(salt+rnd+summ+timestamp+salt) и передаете все, кроме salt в открытом виде через POST.
Желательно все делать через SSL и/или VPN.

Comments

[Владимир Шикльгрубер]

Спасибо. А как тогда передать salt ? он же нужен при проверке хеша

[xmoonlight]

Владимир Шикльгрубер: salt хранится у каждого сервиса в коде. А ЛК, соответственно, знает их ВСЕ от каждого сервиса. Стороны знают salt, но НИКОГДА его не передают. Передаётся только ВЫЧИСЛЕННОЕ с помощью него значение переменной hash.

[Владимир Шикльгрубер]

или salt предварительно зашифровать xxtea + rsa ?

[xmoonlight]

Владимир Шикльгрубер: SALT НЕ ПЕРЕДАВАТЬ НИКОГДА!

[Владимир Шикльгрубер]

xmoonlight: спасибо. Я тогда соль буду хранить в бд сервиса для проверки.

[Владимир Шикльгрубер]

и ещё что такое rnd ?

[xmoonlight]

Владимир Шикльгрубер: случайные данные, которые нужно генерить перед каждой отправкой пакета для предотвращения подбора хэша пакета. Обычно, используют mt_rand(), но лучше - openssl_random_pseudo_bytes()

[Владимир Шикльгрубер]

xmoonlight: спасибо!!! я уже сделал