Защитить запрос с клиента на сервер?

Question

[Emanue1]

В интернет магазине при оплате товара необходимо добавить информацию о покупателе в базу данных. Сайт на php. Как при успешной транзакции передать информацию с клиента на сервер, чтобы этот запрос не смогли подменить обычным curl-ом??

Answer 1

[xmoonlight]

Никак.
Вся доп.информация запрашивается ДО совершения транзакции и потом приходит уже от платёжного агрегатора прямым соединением к вашему серверу, где Вы разбираете этот запрос и получаете все введённые данные.

Если такой вариант не устраивает - тогда только в 2 этапа с передачей ОБЕЗЛИЧЕННОГО СВОЕГО ИДЕНТИФИКАТОРА КЛИЕНТА агрегатору платёжной системы при транзакции:
1. Принимаем данные от клиента на сервер обязательно через SSL и временно сохраняем в базе с привязкой к любому уникальному идентификатору (на основе сессии/времени/имени пользователя и т.д. + "наша соль"), который мы можем сгенерить сами, например: UserPayment=hash(userid+соль).
2. После проводим транзакцию с добавлением поля идентификатора и проверяем ответ агрегатора: если платёж прошёл - то находим нужную запись в базе (идентифицируем) по идентификатору и производим необходимые действия.

Comments

[Антон Иванов]

Тогда почему же вы пишете никак? Хороший и правильный метод предлагаете.

[Stalker_RED]

Антон: потому что это никак не защищает запрос с клиента на сервер.