保护 Javascript / PayPal 结账表格

Question

我正在使用KnockoutJS前端框架和PayPal-PHP-SDK后端框架构建一个PayPal结账表单。

结账表单通过AJAX以json格式发送购物车数据。没有发送任何敏感的用户数据，只有商品ID、商品选项和商品数量。

服务器端的PHP拥有所有匹配的价格，对接收到的json进行了过滤并计算出总价，然后通过PayPal API检查并返回批准的URL。用户被重定向到该URL。

结账时的AJAX调用：

$.ajax({
            url: "process.php",
            type: 'POST',
            data: jsonData,
            success: function(data){
              location = data;
        },
        error:function(){
            $("#status").html('There is error while submit');
        }
});

这个安全吗？在处理ajax调用和PHP时，还有哪些常见的最佳实践方法？

- DennisKo

---

AJAX调用与其他HTTP请求没有区别，应同等对待。 - zerkms

所有用户提交的输入无论使用何种HTTP请求方法，其可信度都是相同的。您需要确保您的PHP代码能够验证和清理数据。您说您已经处理了这个问题，因此前端技术方面就没有太多可以做的了。 - ggdx

Answer 1

如果没有发送明确的个人数据，则不应该有问题。但请记住，为了安全起见，在处理付款和个人数据时最好发送HTTPS/SSL请求。但是，Ajax post调用基本上与表单提交相同，因此，如果您认为普通表单提交不够安全，则ajax调用也不会有所不同。

- Thomas Theunen