【发布时间】：2012-11-25 03:50:13
【问题描述】：
我有一个 jquery 移动应用程序，它使用 ajax 来调用我用 C# 编写的 asp.net Web 方法。这些方法查询 SQL Server 数据库并返回数据。此时无需用户注册。在喜欢、cmets 和发布到用户的墙/时间线方面，我还使用 javascript sdk 进行了一些 facebook 集成。
我开发的下一步是，用户将能够支付费用以将数据输入到我的数据库中。我想避免进入用户/密码管理，而是依靠 facebook 登录（以后可能还有其他社交网络，现在让我们坚持使用 facebook）。
所以我看到的工作流程是：
- 如果用户尚未登录，我会提示用户登录 facebook
- 用户在我的网站上点击“购买”，这是一个 paypal 按钮
- 用户被发送到安全的 paypal 页面，进行付款，然后返回我的网站
- 支付成功后，我调用一个web方法插入新数据，新数据被标记为由这个facebook用户输入。 Web 方法将连接到执行所有获取的同一 sql server 帐户，不会有单个访问者的 sql server 用户帐户。
我在这里看到了一些有趣的安全漏洞。就像有人编写代码直接调用我的插入 Web 方法一样，无需支付任何费用。我正在寻找有关如何以安全方式将所有这些步骤联系在一起的指导，以便最终我保证输入的任何数据都是 a) 已支付 b) 由当前登录的 facebook 用户输入
我已阅读 facebook 登录开发者文档、paypal 开发者文档和 microsoft asp.net 应用程序服务文档。我基本上可以理解每一个，但我迷失了将它们全部捆绑在一个单一的、安全的交易中。任何提示将不胜感激！
提前谢谢...
【问题讨论】：
标签： asp.net facebook security jquery-mobile paypal