Вопросы безопасности PayPal REST API

Question

Меня беспокоит новая защита REST API от PayPal. Я разработал простой веб-приложение с ним (оплата прямой карты с использованием хранилища и оплаты с Paypal счетами), но мне интересно:

1. Я заметил, что нет подписи, полученной от содержания запроса, который передается с каждым REST API, так что сервер PayPal может быть уверен, что есть контент в запросе, который не изменяется по пути неавторизованным лицом.
2. Как это защищено от повторных запросов API? Я думаю, что это разрешено в классическом API, включая некоторую отметку времени, которая подписана, и так далее. Но как она защищена в новом REST API?

Это вопросы, которые возникли у меня, и если у вас есть другие проблемы с безопасностью, пожалуйста, сообщите нам ...?

Answer 1

1. API защищен от атак типа «человек-в-середине», исключительно используя HTTPS для шифрования связи с сервером.
2. HTTPS также защищает вас от повторных атак.

Подписанные хэши и временные метки полезны для решения этих проблем, когда HTTPS нежелательно (обычно потому, что вы хотите иметь возможность кэшировать ответы).

Answer 2

Для обеспечения idempotency (защита от повторного запроса API) вы можете установить заголовок Pay-Request-Id-Id. См. https://developer.paypal.com/webapps/developer/docs/api/#authentication--headers