płatności internetowe - podmiana ceny w formularzu ?, czy to bezpieczne? Opcje

[Janoszczak]

Witam,

tworzę sklep internetowy i przeglądając zasady działania systemów płatności zdiwił mnei fakt iż wszędzie operacja polega na przesłaniu formularza metodą POST. W przeglądarkach FireFox dostępne są wtyczki umożliwiające wyświetlenie zmiennych POST i podmianę ich zawartości. Dlatego zwracam się z pytaniem, czy np taki "sprrytny" klient nie może przed potwierdzeniem wysłania formularza submitem, podmienić sobie zamówienia za 150zł na np. 130?

Prosze o wyjasnienie jak to jest dokladnie? Moze cos zle pojmuje ?

Z gory dziekuje za pomoc

Pozdrawiam ;] (IMG:http://forum.php.pl/style_emoticons/default/guitar.gif)

[konraddo]

Z tego co wywnioskowalem z dokumentacji to:
Przed wysłaniem do płatnosci.pl ustalasz wlasny session_id, ktory razem z innymi danymi zwiazanymi z transakcja zapisujesz w bazie (np. na stronie podsumowania), gdzie na dole zamieszczasz ten formularz:

[HTML] pobierz, plaintext 
<form action="https://www.platnosci.pl/paygw/ISO/NewPayment"
method="POST" name="payform">
<input type="hidden" name="pos_id" value="12345">
<input type="hidden" name="session_id" value="1234565">
<input type="hidden" name="amount" value="1000">
<input type="hidden" name="desc" value="Opis płatnosci">
<input type="hidden" name="pay_type" value="t">
<input type="hidden" name="client_ip" value="123.123.123.123">
<input type="hidden" name="js" value="0">
<input type="submit" value="Zapłać poprzez Platnosci.pl">
</form>
[HTML] pobierz, plaintext 

potem kiedy platnosci.pl zwroci ci dane:
pos id - identyfikator Punktu Płatności
session_id - wartość podana przez Sklep w trakcie tworzenia nowej transakcji
ts - znacznik czasowy, wartość potrzebna w celu weryfikacji podpisu (czas w formacie UNIX TIMESTAMP)
sig - podpis przesłanej informacji - patrz punkt 3.4 Dokumentacji technicznej

sprawdzasz za pomocą session_id oraz danych transakcji w bazie, ktore wczesniej tam umiesciles czy dane są poprawne
jesli nie anulujesz transakcje, jak to jest napisane w dokumentacji:
W celu anulowania lub odrzucenia płatnosci wywołujemy procedure Payment/cancel.

ale jak to sie robi to dokładnie to nie wiem

Ten post edytował konraddo 27.11.2007, 11:53:48