¿Validar que la llamada IPN es de PayPal?

Question

¿Cómo puedo validar que una solicitud POST de IPN de PayPal a mi notifyURL especificado proviene de PayPal?

No me refiero a comparar los datos con lo que envié anteriormente, pero ¿cómo puedo verificar que el servidor/dirección IP de donde proviene esta solicitud de PayPal es realmente válido?

Answer 1

El protocolo IPN consiste en tres pasos:

1. PayPal envía el receptor de IPN un mensaje que le notifica del evento
2. Su oyente envía el mensaje sin alteraciones de nuevo a PayPal; el mensaje debe contener los mismos campos en el mismo orden y ser codificado en la misma forma que el mensaje original
3. PayPal envía una única palabra de nuevo, que es o bien verificadas en lo el mensaje originó con PayPal o no válido si hay alguna discrepancia con lo que era originalmente envió

https://cms.paypal.com/us/cgi-bin/?cmd=_render-content&content_ID=developer/e_howto_admin_IPNIntro

Answer 2

Si no recuerdo mal, TH e PayPal usa una IP estática para sus llamadas IPN.

Por lo tanto, la verificación de la IP correcta debería funcionar.

alternativamente, puede hacer uso de gethostbyaddr o gethostbyname.

Answer 3

Ésta es what I use:

if (preg_match('~^(?:.+[.])?paypal[.]com$~', gethostbyaddr($_SERVER['REMOTE_ADDR'])) > 0) 
{ 
    // came from paypal.com (unless your server got r00ted) 
} 

Answer 4

Esta es la manera más fácil que he encontrado para hacerlo, también según sugiere PayPal. Utilizo http_build_query() para construir la url de la publicación que se envió al sitio desde PayPal. Los documentos de Paypal indican que debe enviar esto de vuelta para verificación y eso es lo que hacemos con file_get_contents. se dará cuenta de que yo uso strstr para comprobar si está presente la palabra 'verificado' y así continuamos en la función, si no volvemos falsa ...

$verify_url = 'https://www.sandbox.paypal.com/cgi-bin/webscr?cmd=_notify-validate&' . http_build_query($_POST); 

if(!strstr(file_get_contents($verify_url), 'VERIFIED')) return false; 

Answer 5

https://gist.github.com/mrded/a596b0d005e84bc27bad

function paypal_is_transaction_valid($data) { 
    $context = stream_context_create(array(
    'http' => array(
     'header' => "Content-type: application/x-www-form-urlencoded\r\n", 
     'method' => 'POST', 
     'content' => http_build_query($data), 
    ), 
)); 
    $content = file_get_contents('https://www.sandbox.paypal.com/cgi-bin/webscr?cmd=_notify-validate', false, $context); 

    return (bool) strstr($content, 'VERIFIED'); 
} 

Answer 6

HTTP ¡Se requiere el agente de usuario de encabezado ahora!

$vrf = file_get_contents('https://www.paypal.com/cgi-bin/webscr?cmd=_notify-validate', false, stream_context_create(array(
    'http' => array(
     'header' => "Content-type: application/x-www-form-urlencoded\r\nUser-Agent: MyAPP 1.0\r\n", 
     'method' => 'POST', 
     'content' => http_build_query($_POST) 
    ) 
))); 

if ($vrf == 'VERIFIED') { 
    // Check that the payment_status is Completed 
    // Check that txn_id has not been previously processed 
    // Check that receiver_email is your Primary PayPal email 
    // Check that payment_amount/payment_currency are correct 
    // process payment 
}