【发布时间】：2011-02-22 19:51:14
【问题描述】：
如果贝宝的业务合作伙伴在其网站上使用贝宝的网络服务。如果网络服务要求其客户的用户名和密码，贝宝如何保护客户数据从那里业务合作伙伴？客户之间如何进行肥皂交易，贝宝及其商业伙伴？
【问题讨论】：
标签： web-services security websphere soa ws-security
【发布时间】：2011-02-22 19:51:14
【问题描述】：
您似乎在问两个不同的事情？但我想试着回答他们两个。
问题 1
如果我对您的理解正确，您的第一个问题是询问 PayPal 如何为客户提供保护，使其免受“业务合作伙伴”的影响，我和 PayPal 一样，更常将其称为“商家”。
您提到了“业务合作伙伴”收集的用户名和密码，所以我会先解决这个问题。通常，用户名和密码仅由收集它们的站点保护。通常，站点的登录和会话与 PayPal 的登录和会话是分开的。因此，即使该站点使用 PayPal，该站点也可能不会使用 PayPal 来保护用于登录其自己站点的帐户凭据。
如果该站点使用 PayPal，并且提示客户/用户登录其 PayPal 帐户进行付款，则凭据应仅发送到 PayPal 站点（您可以在表单操作中查找 paypal.com [查看源代码]）。通常，客户只能通过 PayPal 提供的页面上的表单登录 PayPal（paypal.com 在 URL 中）。我会怀疑任何提示用户登录其 PayPal 帐户但在 url 域中没有 paypal.com 的页面。即使是现在与 PayPal 拥有相同所有权的 eBay，也会让 eBay 用户在通过 paypal.com 提供的页面上输入他们的 PayPal 帐户凭据。
有几种方法可以使用 PayPal 实施付款处理。商家实施 PayPal 支付处理的方式通常是让客户仅将其信用卡信息输入到 PayPal 服务器。这是 PayPal 可以保护客户免受商业伙伴/商家伤害的方式之一。当 PayPal 收集客户的信用卡信息时，PayPal 不会与商户共享信用卡信息。商家只会收到了解付款/交易状态所需的详细信息。
PayPal 还为客户提供另一种类型的保护。它被称为“购买保护”（以前称为“买家保护”），它基本上是保证、政策、网络应用程序、组织等的组合，旨在确保买家得到他们支付给商家的费用。
此外，我想补充一点：许多商家认为信用卡信息是一种责任。有些人可能会收集它来为用户提供处理未来付款而无需重新输入的能力，但许多人根本不存储信用卡信息以避免责任。您永远不应该发送未加密的信用卡信息。您可以通过检查正在收集您的信用卡信息的表单的表单操作来检查您的信用卡信息是否将被加密发送。大多数浏览器都会让您知道您的信息是否通过降低安全性的协议发布，例如 HTTPS（加密）到 HTTP（纯文本），因此有时检查当前 url 是否足够好（尽管仍有办法解决这）。
问题 2
SOAP 是一种数据交换协议，可用于与商家（“业务合作伙伴”）和 PayPal 进行通信。我认为客户和业务合作伙伴（商家）之间存在 SOAP“交易”（如您所说）并不常见，但从商家到 PayPal，可以使用 PayPal SOAP API。这种数据传输方法与其他方法一样安全，因为必须对通信进行加密才能连接到 PayPal 的 SOAP 服务器。有关详细信息，请参阅 PayPal SOAP API 或 SOAP protocol 的详细信息。
【讨论】：