我在我们的网站上设置了一个支付网关，我们可以通过php发布信息（因此所有信息都隐藏在窥探之中），这些信息将发布到authorize.net，发回我们的网关并发回我们的网站当前页面。这样做的目的是为我们提供一种简化的处理付款和更容易调试的方法。
我有一个auth密钥，需要发布到我们的网关才能处理事务。我是否有必要确保获得批准的URL列表以接受来自的帖子，或者是否太容易被操纵？
关于保护我的网关，您对我应该关注的内容有任何其他想法吗？
更新
此网关具有用于其提交的authorize.net的登录/密钥对。我有一个64位md5编码密钥，我用domain.com与gateway.domain.com进行通信，当然通过SSL进行。我正在询问这个钥匙是否足够。鉴于，拥有该密钥的任何人都可以进行交易，但为什么他们......它只会给我们钱。
答案 0 :(得分：0)
已批准的网址列表对保护您的网关几乎没有作用：
curl -H "Referrer: http://happy.example.com" -D "pay_to=evil@example.com&amount=$100,000" http://example.com/gateway.php
你应该看看像OAuth这样的东西，其中每个请求都包含一个只有授权的演员可以提供的唯一标记。
另请注意，POSTing数据仅提供安全性的幻觉。看看发布了哪些数据很容易（不过是微不足道的）。
哦，这应该是一个明智的选择，但请确保您使用的是SSL。