使用 HTTPS 的 Paypal IPN 验证回发

Question

根据新的安全要求（2016 年、2017 年和 2018 年），在“IPN”期间，服务器和 Paypal 之间的交换似乎需要 HTTPS。 This question is linked to this subject 和 this。

我们应该如何调整这个 PHP IPN 代码？

$header .= "POST /cgi-bin/webscr HTTP/1.0\r\n";
$header .= "Host: www.paypal.com:80\r\n";
$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
$header .= "Content-Length: " . strlen($req) . "\r\n\r\n";

$fp = fsockopen ('www.paypal.com', 80, $errno, $errstr, 30);

$req = 'cmd=_notify-validate';

...

fputs ($fp, $header . $req);

将www.paypal.com 的两次出现替换为https://www.paypal.com 就足够了吗？

另外，我的店铺网站不是HTTPS是不是有问题，这个连接会被拒绝吗？

---

这是从 Paypal 收到的电子邮件的一部分：

---

编辑 (2018/06/22)，这是应用接受的答案代码后的实际 IPN 代码。奇怪的是，我仍然得到：“IPN 验证回发到 HTTPS。需要更新：是”。所以这意味着下面的代码仍然不是 100% 兼容 HTTPS。为什么？

<?php
$req = 'cmd=_notify-validate';
foreach ($_POST as $key => $value) {
  $value = trim(urlencode(stripslashes($value)));
  $req .= "&$key=$value";
}

$header .= "POST /cgi-bin/webscr HTTP/1.0\r\n";
$header .= "Host: www.paypal.com\r\n";
$header .= "Content-Type: application/x-www-form-urlencoded\r\n";
$header .= "Content-Length: " . strlen($req) . "\r\n\r\n";
$fp = fsockopen('tls://www.paypal.com', 443, $errno, $errstr, 30);

// variables
$item_name = $_POST['item_name'];
$business = $_POST['business'];
$item_number = $_POST['item_number'];
$payment_status = $_POST['payment_status'];
// and many more

if (!$fp)
{
  // HTTP ERROR
} else
{
  fputs ($fp, $header . $req);
  while (!feof($fp))
  {
    $res = fgets ($fp, 1024);
    if (strcmp ($res, "VERIFIED") == 0)
    {
        // send email to customer, etc.
    }
  }
  fclose ($fp);
}
?>

Answer 1

hostname

如果安装了 OpenSSL 支持，您可以在 hostname 前加上 ssl:// 或 tls://，以使用 SSL 或 TLS 客户端连接通过 TCP/IP 连接到远程主机。

http://www.php.net/fsockopen

端口也需要更改为443。所以：

$header .= "Host: www.paypal.com\r\n";
...
$fp = fsockopen('ssl://www.paypal.com', 443, $errno, $errstr, 30);
...
fputs ($fp, $header . $req);

https:// 不起作用，因为您正在打开一个 socket，这是一个低级传输。 HTTP 是最重要的应用程序级协议，套接字不知道或不关心它。在套接字级别，它是一个 TLS 连接。

另外，我的店铺网站不是HTTPS是不是有问题，这个连接会被拒绝吗？

浏览器与您的服务器有什么样的连接是无关紧要的，没有人知道这一点。您正在打开一个从 PHP 程序到 Paypal 的套接字，您也可以直接从命令行执行此操作，而根本不涉及任何“HTTP”连接。

Answer 2

除了 deceze 的回答，PayPal 的更新现在要求你使用ipnpb.paypal.com

尝试使用此代码。

$fp = fsockopen('ssl://ipnpb.paypal.com', "443", $err_num, $err_str, 60);

Answer 3

我建议你放弃 fsocket 以支持 curl。它更可靠（我认为）。我刚刚更新了我的 ipn.php 中的 curl 组件，以符合 HTTP1/1 和 TLS1.2 (sslversion=6) 的 Paypals 要求 代码是

//NOW SEND IT ALL BACK TO PAYPAL AS CONFIRMATION//
// USING CURL AS PHP FSOCKOPEN IS LESS RELIABLE //
$curl_result=$curl_err='';
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL,$paypal_url);
curl_setopt($ch, CURLOPT_CAINFO, "cacert.pem");
curl_setopt($ch, CURLOPT_SSLVERSION, 6);
curl_setopt($ch, CURLOPT_HTTP_VERSION, CURL_HTTP_VERSION_1_1);
curl_setopt($ch, CURLOPT_RETURNTRANSFER,1);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, $req);
curl_setopt($ch, CURLOPT_HTTPHEADER, array("Content-Type: application/x-www-form-urlencoded", "Content-Length: " . strlen($req)));
curl_setopt($ch, CURLOPT_HEADER, 0);   
curl_setopt($ch, CURLOPT_VERBOSE, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_FORBID_REUSE, 1);
curl_setopt($ch, CURLOPT_TIMEOUT, 30);
$curl_result = @curl_exec($ch);
$curl_err = curl_error($ch);
curl_close($ch);

效果很好

Answer 4

除了我关于 Curl 的 cmets，Paypal 开发人员还为 IPN 提供了几组源代码。他们提供 C++、Python、ASP、PHP 等等。你会在 github 上找到它们。所有的 PHP 解决方案都使用 Curl。尽管有些上传是几年前的，但他们一定知道 Paypal 会将他们的完整通信（针对 IPN）更新为 HTTPS。 即使使用一些较旧的软件包，只需添加 1 行代码即可将 SSL 版本设置为 6，旧代码也适用于 Paypals 的新要求

Answer 5

https://github.com/paypal/ipn-code-samples 的链接是 Python、Ruby、Perl、Asp 和包括 PHP 在内的其他一些代码的汇编。 PHP 组件的直接链接位于https://github.com/paypal/ipn-code-samples/tree/master/php 这是我使用的那个，因为它已经“准备好”HTTP1/1 和 TLS1.2，因此勾选了 Paypal 新的安全合规性的所有框。 其他 github 样本很少，有的超过 6 年，但这是最新的

Answer 6

根据 PayPal 的最新要求，您现在可能还应该将 HTTP/1.0 更改为 HTTP/1.1。那就是：

$header .= "POST /cgi-bin/webscr HTTP/1.1\r\n";