Sprawdź, czy połączenie IPN pochodzi z systemu PayPal?

Question

W jaki sposób mogę sprawdzić, czy żądanie PayPal PON IPN do mojego określonego adresu rozliczeniowego rzeczywiście pochodzi z systemu PayPal?

Nie mam na myśli porównywania danych z tym, co wcześniej wysłałem, ale jak mogę sprawdzić, czy adres serwera/IP, z którego pochodzi ten wniosek PayPal, jest rzeczywiście ważny?

Answer 1

Protokół IPN składa się z trzech etapach:

1. PayPal wysyła słuchacz IPN do komunikat, który informuje nas o wydarzeniu
2. Twój słuchacz wysyła kompletny niezmienioną wiadomość z powrotem do systemu PayPal; komunikat musi zawierać te same pola w tej samej kolejności i być zakodowane w taki sam sposób jak w oryginalnej wiadomości
3. PayPal wysyła jednego słowa z powrotem, co albo jest weryfikowana komunikat pochodzi z PayPal lub nieważny, jeśli istnieje rozbieżność z tym, co było pierwotnie wysłane

https://cms.paypal.com/us/cgi-bin/?cmd=_render-content&content_ID=developer/e_howto_admin_IPNIntro

Answer 2

Jeśli dobrze pamiętam, th e PayPal używa statycznego adresu IP dla swoich połączeń IPN.

Sprawdzanie prawidłowego adresu IP powinno działać.

Alternatywnie można skorzystać z gethostbyaddr lub gethostbyname.

Answer 3

To what I use:

if (preg_match('~^(?:.+[.])?paypal[.]com$~', gethostbyaddr($_SERVER['REMOTE_ADDR'])) > 0) 
{ 
    // came from paypal.com (unless your server got r00ted) 
} 

Answer 4

Jest to najprostszy sposób znalazłem to zrobić, jak również za sugeruje PayPal. Używam http_build_query() do skonstruowania adresu URL z posta, który został wysłany na stronę z paypal. Dokumenty Paypal oświadczają, że powinieneś wysłać to z powrotem do weryfikacji i to właśnie robimy z file_get_contents. można zauważyć, że używam strstr aby sprawdzić, czy słowo „zweryfikowana” jest obecne, a więc w dalszym ciągu w funkcji, jeśli nie my return false ...

$verify_url = 'https://www.sandbox.paypal.com/cgi-bin/webscr?cmd=_notify-validate&' . http_build_query($_POST); 

if(!strstr(file_get_contents($verify_url), 'VERIFIED')) return false; 

Answer 5

https://gist.github.com/mrded/a596b0d005e84bc27bad

function paypal_is_transaction_valid($data) { 
    $context = stream_context_create(array(
    'http' => array(
     'header' => "Content-type: application/x-www-form-urlencoded\r\n", 
     'method' => 'POST', 
     'content' => http_build_query($data), 
    ), 
)); 
    $content = file_get_contents('https://www.sandbox.paypal.com/cgi-bin/webscr?cmd=_notify-validate', false, $context); 

    return (bool) strstr($content, 'VERIFIED'); 
} 

Answer 6

HTTP nagłówek User-Agent wymagany teraz!

$vrf = file_get_contents('https://www.paypal.com/cgi-bin/webscr?cmd=_notify-validate', false, stream_context_create(array(
    'http' => array(
     'header' => "Content-type: application/x-www-form-urlencoded\r\nUser-Agent: MyAPP 1.0\r\n", 
     'method' => 'POST', 
     'content' => http_build_query($_POST) 
    ) 
))); 

if ($vrf == 'VERIFIED') { 
    // Check that the payment_status is Completed 
    // Check that txn_id has not been previously processed 
    // Check that receiver_email is your Primary PayPal email 
    // Check that payment_amount/payment_currency are correct 
    // process payment 
}