rest - 外部支付方式 API - 处理回调安全

Question

许多支付方式提供商 API，如Braintree、Stripe等，都提供了一个回调系统，允许商家收到交易结果的通知。

主要问题是：我如何才能免受恶意请求的影响？

假设攻击者可以重现我们公开的回调 REST API（显然使用 HTTPS），这将导致许多虚假的成功交易。

有什么方法可以防止这种情况吗？我在 Stripe 链接上阅读了有关 CRSF 令牌的信息，但我不清楚如何在我的电子商务网站和提供商 API 之间安全地传递它。

标签： restsecuritystripe-paymentsowaspjava-security

Answer 1

Stripe 的回调系统称为 webhooks ( https://stripe.com/docs/webhooks )，为了防止潜在的攻击，Stripe 会将回调内容连同签名一起发送。签名是带有时间戳和 webhook 密码的回调内容的 (HAMC SHA256) 哈希。您可以验证签名 ( https://stripe.com/docs/webhooks/signatures ) 以确保数据确实是从 Stripe 发送的。