paypal_adaptive gem 的安全问题

Question

我在 Rails 3.1 中使用 paypal_adaptive gem 进行链式支付。然而，在观看http://railscasts.com/episodes/143-paypal-security 之后，我开始担心我可能应该在我的付款请求中添加安全措施。具体来说，我不希望有人能够操纵我在请求中发送的商品的价格。当然，我使用的是标准的 paypal_adaptive gem 请求：

pay_request = PaypalAdaptive::Request.new

data = {
"returnUrl" => "http://testserver.com/payments/completed_payment_request", 
"requestEnvelope" => {"errorLanguage" => "en_US"},
"currencyCode"=>"USD",  
"receiverList"=>{"receiver"=>[{"email"=>"testpp_1261697850_per@nextsprocket.com",     "amount"=>"10.00"}]},
"cancelUrl"=>"http://testserver.com/payments/canceled_payment_request",
"actionType"=>"PAY",
"ipnNotificationUrl"=>"http://testserver.com/payments/ipn_notification"
}

pay_response = pay_request.pay(data)

if pay_response.success?
  redirect_to pay_response.approve_paypal_payment_url
else
  puts pay_response.errors.first['message']
  redirect_to failed_payment_url
end

我的问题是：我是否需要加密此请求以防止人们像 Ryan 在他的 rails cast 中那样更改价格？如果是这样，我该如何操作这段代码呢？

Answer 1

IPN 验证绝对是一个好习惯。但是关于加密发送的变量；不，那没有必要。

http://railscasts.com/episodes/143-paypal-security 上列出的示例使用网站支付标准，在这种情况下， 最好对其进行加密。

但 Adaptive Payments 是一系列从您的服务器到 PayPal 的服务器到服务器 API 调用（“支付”API）。唯一暴露给买家的部分是 payKey，这是一个买家无法操作的临时代币。