W jaki sposób mogę zapobiec przesłanianiu przez użytkowników całkowitego kosztu z koszyka na zakupy po przesłaniu go jako ukryte pole wejściowe?

Question

Mam poważne problemy z akceptowaniem płatności.

olewam łączną kwotę w ukrytym polu

<input type="hidden" 
    name="checkout-flow-support.merchant-checkout-flow-support.shipping-methods.flat-rate-shipping-1.price" 
    value="129.00"/> 

Niektórzy z użytkowników zmienił tę wartość do 2 używając Firebug i przesłaniu formularza. Zamiast zebrać 129 USD, otrzymaliśmy tylko 2 USD.

Nie mam pojęcia, jak to zrobić, nikt mi szybko nie pomoże.

Answer 1

im przekazując całkowitą kwotę w ukrytym polu

Nie rób tego!

Ponieważ wiesz, jakie przedmioty użytkownik chce kupić, obliczyć koszt po stronie serwera.

Answer 2

To błąd podręcznika, analogicznie do zapytania klienta w sklepie stacjonarnym, o ile przedmiot kosztuje i wierzy w tę odpowiedź. Jest to szczególny przypadek ogólnej zasady bezpieczeństwa: nie ufaj klientowi. Odpowiedź Hobodave'a jest poprawna; obliczyć ceny, podatki itp. po stronie serwera.

Answer 3

z dostawcami usług płatniczych (PSP), ogólna konfiguracja komunikacji zazwyczaj wychodzi coś takiego:

kontakty

1) Serwer PSP i konfiguruje transakcji, określenie wymaganej kwoty oraz danych konta PSP.

2) PSP odpowiada za pomocą identyfikatora transakcji, który następnie dodaje się do formularza. Ten identyfikator transakcji nie zawiera żadnych informacji o stosowanych cenach - jest po prostu identyfikatorem transakcji, który rejestruje serwer skonfigurowany za pomocą PSP.

3) Gość wypełnia formularz, który jest wysyłany do PSP. Następnie przekierowują użytkownika z powrotem do Twojej witryny.

4) Twój serwer odpytuje serwer PSP i sprawdza, że ​​transakcja powiodła (tj. Metoda odwiedzający płatność OK'd transakcji z PSP, itp)

Komunikacja serwer-PSP jest zazwyczaj wykonywane używając biblioteki takiej jak curl.

Google przewidują szereg libraries/przykładów, w jaki sposób prawidłowo przetwarzać transakcje (i większość innych PSP zrobić to samo, z mojego doświadczenia): http://code.google.com/apis/checkout/samplecode.html

Dokładne dane komunikacyjne mogą się różnić w zależności od PSP, ale zasadniczo nie powinno być potrzeby, aby "całkowita kwota" kiedykolwiek przechodziła przez formularz wyświetlany odwiedzającym. Wszystko odbywa się z serwera na serwer, aby odwiedzający nie mógł zmienić szczegółów.