Cifrado de botón de Paypal dinámico

Question

Estoy diseñando un sitio de pedido usando PHP & Mysql. En la etapa final, al usuario se le otorgan los botones de Paypal para pagar los Pedidos que ha realizado. Entonces, el Nombre del Artículo, el Valor son variables. Estos valores son variables, no puedo usar un botón encriptado de Paypal. Tendré que usar un botón no encriptado o encriptarlo antes de mostrárselo al usuario.

Deseo encriptarlo por razones de seguridad. Me gustaría saber cómo hacerlo en mi servidor.

Answer 1

quizás podría tratar de poner esas variables en una tabla temporal con una identificación única. luego usa esa identificación para los botones. consultar las variables de la tabla cada vez que el cliente haga clic en los botones de PayPal. Solo espero haber entendido bien su declaración xD

Answer 2

La única manera de hacerlo es consultar dinámicamente a PayPal para cifrar el botón cada vez.

Sin embargo, este método no es eficiente, creo que sería mucho mejor usar PayPal IPN. Hay muchos ejemplos y clases en línea sobre cómo hacer esto.

Answer 3

Lo que hay que hacer es bastante compleja, en primer lugar, la introducción, botones de paypal cifrados tienen la siguiente distribución:

<form action="https://www.paypal.com/cgi-bin/webscr" method="post"> 
<input type="hidden" name="cmd" value="_s-xclick"> 
<input type="hidden" name="encrypted" value="-----BEGIN PKCS7-----MIIIEQYJKo...Encrypted stuff...IF5ioje8JH0LAA+5U7P+tabAMOL37k=-----END PKCS7-----"> 
<input type="image" src="https://www.paypalobjects.com/es_XC/MX/i/btn/btn_buynowCC_LG.gif" border="0" name="submit" alt="PayPal, la forma más segura y rápida de pagar en línea."> 
<img alt="" border="0" src="https://www.paypalobjects.com/es_XC/i/scr/pixel.gif" width="1" height="1"> 
    </form> 

El campo cmd indica un botón Comprar ahora cifrada (comprobar los valores de los botones que desee crear), y el campo encriptado es el contenido real del botón en la siguiente distribución:

cert_id=ZQCMJTZS27U4F 
    cmd=_xclick 
    business=contact@mybiz.com 
    item_name=Handheld Computer 
    item_number=1234 
    custom=sc-id-789 
    amount=500.00 
    currency_code=USD 
    tax=41.25 
    shipping=20.00 
    no_note=1 
    cancel_return=http://www.company.com/cancel.htm 

Nota, éstos están en el formato de par = valor, para una mirada referencia completa aquí: https://cms.paypal.com/us/cgi-bin/?cmd=_render-content&content_ID=developer/e_howto_html_Appx_websitestandard_htmlvariables.

Ahora la teoría, para obtener el campo encriptado, bien encriptado, necesita firmar estos valores con su certificado (certificado x509) y su clave privada, entonces necesita encriptar este mensaje firmado con el certificado público de PayPal.

Yendo a la práctica, para hacerlo puede (necesita) utilizar las siguientes dos funciones PHP (parte de la extensión OpenSSL): openssl_pkcs7_sign y openssl_pkcs7_encrypt.

Encontré esta última parte muy difícil de configurar, por lo que le recomiendo que descargue el PHP SDK para PayPal disponible aquí: https: // www.x.com/community/psx/sdks#WPST y directamente aquí: https://cms.paypal.com/cms_content/US/en_US/files/developer/PP_PHP_WPS_Toolkit.zip , este SDK viene con la clase EWPServices que contiene el método encryptButton que te da el botón encriptado bastante fácil; si desea ver los huesos, busque en la clase PPCrypto que le ofrece el método signAndEncrypt que le proporciona solo la cadena encriptada que necesita para el campo y le muestra el proceso de encriptación del botón.

Answer 4

Según su publicación, parece muy confundido acerca de qué es el cifrado y a qué se lo aplica. ¿Cuál es el modelo de amenaza? (es decir, cómo se puede subvertir).

No hay forma de que espere que PayPal siempre procese el pedido que envió al navegador del cliente. DEBE verificar lo que procesó Paypal.

Puede estar más seguro de la integridad del pedido después de que abandone su sitio, p. agregando un hash del pedido al número de orden (¡y una sal!) lo envía a Paypal. Esto debería permitirle verificar el pedido sin referencia al PLU/orden almacenada (siempre que el script que procesa el retorno desde PayPal conozca la sal).

Answer 5

Desarrollé un PHP integration toolkit with PayPal Website Payments Standard.

Todos los problemas que mencionas aquí se manejan dentro de las clases de ayuda. Se proporcionan algunas configuraciones básicas para una fácil configuración. Por ejemplo, todas las variables de cifrado (su clave privada, certificado público, ...) y sujeto a configuración. El artículo explica en detalles cómo usar las clases.

PD: Solo la confirmación IPN es implementada por las clases de ayuda.

Answer 6

¿No podría nadie con su dirección de correo electrónico de PayPal enviarle una factura falsa, pidiendo nombres de productos a precios incorrectos? Si van a tomarse la molestia de cambiar su código js/html para enviarle una factura falsa ... podrían simplemente escribir la suya (solo un formulario enviado a 'paypal.com/cgi-bin/webscr'). Todo lo que realmente necesita es el correo electrónico de paypal del vendedor, ¿verdad?

Entonces, ¿por qué todo el problema de encriptar botones?