सेलेंट AJAX कॉल के साथ पेपैल एक्सप्रेस चेकआउट सुरक्षा

Question

पेपैल का नया चेकआउट मुझे असुरक्षित महसूस करता है, क्या उपयोगकर्ता उपयोगकर्ता को नकली भुगतान पर ट्रिगर नहीं कर सकता है?

कोड प्रदान की इस

paypal.Button.render({ 
    env: 'sandbox', 
    client: { 
     sandbox: 'AapGZeCaaDK_q_KPeG19DHnD_kd18vr6BxNe4P6uuhfTKPjIedtNEI9plyDgmzfyI-xGhbxjpv0k-Ha9', 
     production: 'xxxxxxxxx' // u expose the key to client side? is this ok? 
    }, 
    payment: function() { 
     var env = this.props.env; 
     var client = this.props.client; 

     return paypal.rest.payment.create(env, client, { 
      transactions: [{ 
       amount: { total: ($scope.number_of_uses * 9) + '.00' , currency: 'USD' }, 
       item_list: { 
        items: [{ 
         "name": "example", 
         "quantity": $scope.number_of_uses, 
         "price": "9.00", 
         "currency": "USD" 
        }] 
       } 
      }], 
      redirect_urls: { 
       "return_url": $location.absUrl(), 
       "cancel_url": $location.absUrl() 
      } 
     }); 
    }, 

    onAuthorize: function(data, actions) { 
     return actions.payment.execute().then(function() { 
      actions.payment.get().then(function(data){ 
       // here I will save data detail to db to record sales 
       // $http something something 
      }); 
     }); 
    } 

}, '#paypal-button'); 

पट्टी में की तरह लग रहे है, मैं एक टोकन यदि सब कुछ ठीक बिक्री रिकॉर्ड करने के लिए आगे बढ़ना, वापस करने के लिए पारित करने के लिए तो मेरे सर्वर साइड में है कि टोकन को सत्यापित किया है। लेकिन पेपैल में ऐसा लगता है कि यह एकमात्र चीज है जिसे मुझे एक्सप्रेस चेकआउट करने के लिए लागू करने की आवश्यकता है। क्या यह भी सुरक्षित है?

Answer 1

आप सही हैं कि यह आपके डेटाबेस को अपडेट करने के लिए सुरक्षित नहीं है। यह भुगतान का एक सुरक्षित तरीका है, हालांकि, आप क्लाइंट के साथ सत्यापित नहीं कर सकते कि भुगतान सफल हुआ था और फिर अपने डेटाबेस को प्राधिकृत विधि के साथ अपडेट करें।

यह सत्यापित करने के लिए कि आपके डेटाबेस के लिए भुगतान सफल था, आपको Server Side REST API का उपयोग करना होगा। अफसोस की बात है कि इसके लिए पेपैल दस्तावेज़ बहुत कम हैं, हालांकि SDKs हैं जो अधिक दस्तावेज और कार्यान्वित करने में आसान हैं। (Shortcut to Node SDK)।

मैं अनुशंसा करता हूं कि आप इन्हें अपने डेटाबेस में अपडेट लागू करने के लिए उपयोग करें। पेपैल एक पैरामीटर देता है जो आपको बताता है कि भुगतान सफल था।

Answer 2

मुझे समस्या का सामना करना पड़ रहा है। मेरा मानना ​​है कि यह सुरक्षित नहीं है, क्योंकि प्राधिकरण() विधि में आपके कोड सार्वजनिक रूप से सामने आए हैं। कोई भी भुगतान किए बिना निश्चित रूप से उस कोड को ट्रिगर कर सकता है।

पेपैल पर एक बुरा आर्किटेक्चर। निराश!