保护 Javascript / PayPal 结帐表格答案

【问题标题】：Securing a Javascript / PayPal checkout form保护 Javascript / PayPal 结帐表格
【发布时间】：2015-05-22 06:44:21
【问题描述】：

我正在使用前端的 KnockoutJS 和后端的 PayPal-PHP-SDK 构建一个 PayPal 结帐表单。

结帐通过 AJAX 以 json 格式发送购物车数据。没有发送敏感的用户数据，只有 itemsID、项目选项和项目金额。服务器上的 PHP 具有所有匹配的价格，对接收到的 json 进行清理并汇总总数，使用 PayPal API 签入并返回一个批准 URL。用户被重定向到该 URL。

结帐时的 AJAX 调用：

$.ajax({
            url: "process.php",
            type: 'POST',
            data: jsonData,
            success: function(data){
              location = data;
        },
        error:function(){
            $("#status").html('There is error while submit');
        }
});

这足够安全吗？在处理 ajax 调用和 PHP 时，还有哪些其他常见的最佳实践？

【问题讨论】：

AJAX 调用与任何其他 http 请求没有区别。平等对待他们。
无论您使用哪种HTTP请求方法，所有用户提交的输入都具有相同程度的可信度。您需要确保您的 PHP 是健全的，以验证和清理数据。你说你已经处理了这个问题，所以你可以用前端技术做更多的事情。

标签： javascript php ajax paypal

【解决方案1】：

如果没有发送明确的个人数据，那么应该没有问题。但请记住，出于安全目的处理付款和个人数据时，最好始终发送 HTTPS/SSL 请求。

但是Ajax post调用和表单提交基本一样，所以如果你觉得普通的表单提交不够安全，那么ajax调用也不例外。

【讨论】：