在加密的 SSL 连接上使用 HTTP POST 发送信用卡信息是否足够安全？答案

【问题标题】：Is it secure enough to sent credit card information using HTTP POST on a encrypted SSL connection?在加密的 SSL 连接上使用 HTTP POST 发送信用卡信息是否足够安全？
【发布时间】：2018-04-03 10:02:21
【问题描述】：

信用卡信息将由客户端通过移动应用发送到服务器以完成购买。服务器将托管引用 Stripe REST API（将用于支付）的 PHP 脚本。数据通过 SSL 连接上的 HTTP POST 发送。我的问题是这种方法是否安全？通过 HTTP 标头发送数据会更安全吗？

【问题讨论】：

如果您使用的是SSL，那么是的，数据在发送时无法被截获，您是否将数据存储在您的服务器中？
如果可能的话——不要处理信用卡数据，这样你就不需要处理 PCI 合规性规则——将所有与 Stripe 相关的付款交给你可以安全很多努力。
@MehdiBounya 没有信用卡数据不会存储在我的服务器上，我也不会自己处理。条纹处理一切。您可以将 PHP 脚本视为旨在将数据传输到条带的“车辆”。

标签： php security ssl post https

【解决方案1】：

我的问题是这种方法是否安全？

如果您的问题是关于保护客户端和服务器之间的信息传输，那么只要您正确实施了具有强密码和证书的 TLS，并且客户端应用程序进行了适当的证书验证，它就足够安全了。

如果您改为询问这通常是否安全，则无法回答此问题，因为数据的安全性不仅取决于传输方式，还取决于您如何在 TLS 连接之外处理数据，即是否存储数据在服务器或客户端应用程序中，如果您的网站容易受到 SQL 注入或类似攻击，因此攻击者可以检索存储的数据等。

如果法律允许您以这种方式处理数据，您还应该咨询您的支付提供商。

通过 HTTP 标头发送数据是否会更安全？

没有。情况可能更糟，因为一些 HTTP 标头通常存储在日志文件中，从而将信息暴露在 TLS 连接之外。

【讨论】：

感谢 Steffen 澄清了 HTTP 标头的问题。我将使用 Comodo 提供的 Positive SSL 证书。数据不存储在服务器上。它通过其 REST API 直接发送到 Stripe。

【解决方案2】：

Stripe 有一个强大的 Javascript API，允许您在客户端（在您的移动应用中的用户手机上）处理数据并将其直接发送到 Stripe，而无需接触您的服务器。

此 API 的文档位于：

https://stripe.com/docs/stripe.js

它们还具有用于编写应用程序常用的其他语言的客户端 API。见：

https://stripe.com/docs/checkout/tutorial

【讨论】：