验证 IPN 呼叫来自 PayPal？

Question

如何验证对我指定的 notifyURL 的 PayPal IPN POST 请求确实来自 PayPal？

我的意思不是将数据与我之前发送的数据进行比较，而是如何验证此 PayPal 请求来自的服务器/IP 地址确实是有效的？

Answer 1

IPN 协议由三个 步骤：

1. PayPal 向您的 IPN 监听器发送一个 通知您该事件的消息
2. 您的听众发送完整的 未更改的消息返回 PayPal；这 消息必须包含相同的字段 以相同的顺序并被编码 与原始消息相同
3. PayPal 发回一个字，即 如果消息是 VERIFIED 起源于 PayPal 或 INVALID 如果 与之前的内容有任何出入 最初发送

https://cms.paypal.com/us/cgi-bin/?cmd=_render-content&content_ID=developer/e_howto_admin_IPNIntro

Answer 2

这是我发现的最简单的方法，也按照 PayPal 的建议。我使用 http_build_query() 从从 paypal 发送到网站的帖子中构造 url。 Paypal 文档声明您应该将其发回以进行验证，这就是我们对 file_get_contents 所做的。你会注意到我使用 strstr 来检查单词 'VERIFIED' 是否存在，所以我们继续函数，如果没有，我们返回 false...

$verify_url = 'https://www.sandbox.paypal.com/cgi-bin/webscr?cmd=_notify-validate&' . http_build_query( $_POST );   

if( !strstr( file_get_contents( $verify_url ), 'VERIFIED' ) ) return false;

Answer 3

现在需要 HTTP 标头 User-Agent！

$vrf = file_get_contents('https://www.paypal.com/cgi-bin/webscr?cmd=_notify-validate', false, stream_context_create(array(
    'http' => array(
        'header'  => "Content-type: application/x-www-form-urlencoded\r\nUser-Agent: MyAPP 1.0\r\n",
        'method'  => 'POST',
        'content' => http_build_query($_POST)
    )
)));

if ( $vrf == 'VERIFIED' ) {
    // Check that the payment_status is Completed
    // Check that txn_id has not been previously processed
    // Check that receiver_email is your Primary PayPal email
    // Check that payment_amount/payment_currency are correct
    // process payment
}

Answer 4

https://gist.github.com/mrded/a596b0d005e84bc27bad

function paypal_is_transaction_valid($data) {
  $context = stream_context_create(array(
    'http' => array(
      'header'  => "Content-type: application/x-www-form-urlencoded\r\n",
      'method'  => 'POST',
      'content' => http_build_query($data),
    ),
  ));
  $content = file_get_contents('https://www.sandbox.paypal.com/cgi-bin/webscr?cmd=_notify-validate', false, $context);

  return (bool) strstr($content, 'VERIFIED');
}

Answer 5

如果我没记错的话，PayPal 使用静态 IP 进行 IPN 调用。

因此，检查正确的 IP 应该可以工作。

或者，您可以使用gethostbyaddr 或gethostbyname。

Answer 6

这是what I use：

if (preg_match('~^(?:.+[.])?paypal[.]com$~', gethostbyaddr($_SERVER['REMOTE_ADDR'])) > 0)
{
    // came from paypal.com (unless your server got r00ted)
}