Invia modulo tramite cURL e reindirizza il browser a PayPal

Question

Sto sviluppando un sito in cui i clienti hanno diverse opzioni di pagamento, tra cui PayPal Payments Standard. Poiché sto raccogliendo una discreta quantità di dati sul cliente, vorrei elaborare il modulo sul mio server prima di inviare l'utente al server di PayPal. Un'opzione consiste nel concatenare i dati in una singola stringa, assegnare la stringa al campo custom e quindi elaborarla nella risposta IPN, ma trovo che questa sia una soluzione molto poco elegante. Invece, dopo aver raccolto i dati dell'utente, sto tentando di utilizzare cURL per inviare un modulo PayPal HTML standard. Come posso reindirizzare l'utente a PayPal per completare la procedura di checkout?

// Process PayPal payment 
    if ($method == 'PayPal') { 

    // Prepare POST data 
    $query = array(); 
    $query['notify_url'] = 'http://example.com/ipn'; 
    $query['cmd'] = '_cart'; 
    $query['upload'] = '1'; 
    $query['business'] = 'email@example.com'; 
    $query['address_override'] = '1'; 
    $query['first_name'] = $first_name; 
    $query['last_name'] = $last_name; 
    $query['email'] = $email; 
    $query['address1'] = $ship_to_address; 
    $query['city'] = $ship_to_city; 
    $query['state'] = $ship_to_state; 
    $query['zip'] = $ship_to_zip; 
    $query['item_name_'.$i] = $item['description']; 
    $query['quantity_'.$i] = $item['quantity']; 
    $query['amount_'.$i] = $item['info']['price']; 

    // Prepare query string 
    $query_string = ''; 
    foreach ($query as $key=>$value) { 
     $query_string .= $key.'='.urlencode($value).'&'; 
    } 
    $query_string = rtrim($query_string, '&'); 

    // Open connection 
    $ch = curl_init(); 

    //set the url, number of POST vars, POST data 
    curl_setopt($ch,CURLOPT_URL, 'https://www.paypal.com/cgi-bin/webscr'); 
    curl_setopt($ch,CURLOPT_POST, count($query)); 
    curl_setopt($ch,CURLOPT_POSTFIELDS, $query_string); 

    // Execute post 
    $result = curl_exec($ch); 

    // Close connection 
    curl_close($ch); 
    } 

Answer 1

ATTENZIONE: questa risposta ha un deficit di sicurezza. Il trasferimento di dati sensibili (come voce e prezzo) tramite il client consente al cliente di modificare la transazione. vale a dire. cambia l'articolo o cambia il prezzo. Vedere la documentazione di PayPal su how to implement IPN.

È necessario reindirizzare l'utente con la funzione php header e inviare VAR come GET non POST.

// Process PayPal payment 
if ($method == 'PayPal') { 

    // Prepare GET data 
    $query = array(); 
    $query['notify_url'] = 'http://jackeyes.com/ipn'; 
    $query['cmd'] = '_cart'; 
    $query['upload'] = '1'; 
    $query['business'] = 'social@jackeyes.com'; 
    $query['address_override'] = '1'; 
    $query['first_name'] = $first_name; 
    $query['last_name'] = $last_name; 
    $query['email'] = $email; 
    $query['address1'] = $ship_to_address; 
    $query['city'] = $ship_to_city; 
    $query['state'] = $ship_to_state; 
    $query['zip'] = $ship_to_zip; 
    $query['item_name_'.$i] = $item['description']; 
    $query['quantity_'.$i] = $item['quantity']; 
    $query['amount_'.$i] = $item['info']['price']; 

    // Prepare query string 
    $query_string = http_build_query($query); 

    header('Location: https://www.paypal.com/cgi-bin/webscr?' . $query_string); 
} 

Answer 2

facendo arricciare farà capo all'altro chiamate a lato back-end, non si rifletta sulla comportamento frontend.

devi compilare un modulo con campo nascosto e javascript per inviare automaticamente il modulo una volta caricata la pagina.

Answer 3

Piuttosto che cercare di inviare tutti i dati su PayPal e viceversa, è necessario conservare i dati sul server e inviare solo un token identificativo. Tutti i dati inviati a PayPal (tramite il browser dell'utente) possono essere intercettati e modificati. Questo è un serio pericolo per la sicurezza.

Se si invia solo il token non c'è possibilità di manomissione.

Leggi le specifiche PayPal, ha linee guida su come implementare queste cose.

È must uso IPN o qualche simile post processing perché PayPal è l'unico che sa se un pagamento è stato effettivamente fatto. Do non fidati di tutti i dati che ricevi dall'utente.