外部支付方式 API - 处理回调安全

【问题标题】：External payment method API - Deal with callback security外部支付方式 API - 处理回调安全
【发布时间】：2019-05-09 16:48:14
【问题描述】：

Braintree、Stripe 等许多支付方式提供商 API 提供了一个回调系统，允许商家收到交易结果的通知。

主要问题是：如何避免恶意请求？

假设攻击者可以复制我们暴露的回调 REST API（显然使用 HTTPS），这将导致许多虚假的成功交易。

有什么方法可以防止这种情况发生吗？我在 Stripe 链接上阅读了有关 CRSF 令牌的信息，但我不清楚如何在我的电子商务网站和提供商 API 之间安全地传递它。

【问题讨论】：

标签： rest security stripe-payments owasp java-security

【解决方案1】：

Stripe 的回调系统称为 webhooks (https://stripe.com/docs/webhooks) 为了防止潜在的攻击，Stripe 会将回调内容连同签名一起发送。签名是带有时间戳和 webhook 密码的回调内容的 (HAMC SHA256) 哈希。您可以验证签名 (https://stripe.com/docs/webhooks/signatures) 以确保数据确实是从 Stripe 发送的。

【讨论】：

谢谢：这适用于 Stripe，但一般来说有什么方法可以防止恶意调用吗？
是的，你是对的，这是防止潜在的中间人攻击或重放攻击的 Stripe 方法。但它确实首先依赖第三方系统来实施。为了主动保护您的系统，您可以做的可能是将您的回调句柄将处理的域列入白名单。例如。对于条纹，您可以将来自 *.stripe.com 的任何回调列入白名单并拒绝其他请求