关于数据安全性疑问

A6237106 · 发表于 2015-12-11 06:09:49

看了官方的外卖视频。微信支付。支付宝支付的支付金额都是在js文件中计算的。这样当有人非法修改了这个数值然后再提交给后端服务这样是不是就发生了严重漏洞以前谷歌浏览器就有漏洞客户端修改了js可以执行修改后的感觉要用强后端做数据安全性的验证啊

liangyongfei · 发表于 2015-12-11 10:16:08

本帖最后由 liangyongfei 于 2015-12-11 10:24 编辑

支付的功能，js中只不过是通过cordova插件调用的手机上支付宝，或微信的支付功能！
最终的成功支付和输入密码都是由微信和支付宝的自带的功能完成的！
在安全性方面，微信和支付宝插件都需要配置多个唯一标识的UUID，应该可以保证了
http://doc.wex5.com/?p=5129
http://doc.wex5.com/?p=5046

当然，新版本的这些配置都在编辑app的插件页面完成的！

A6237106 · 发表于 2015-12-11 10:49:09

我明白你说的。但是你想过没。两个菜 20 但是通过修改js改成一块这样明显不安全。虽然后台发货时能看到一块这个明显不对。因为是20的物品。游戏游戏就有这种漏洞。重要数据都放客户端了。最终导致改内存欺骗服务端出现非法数据

liangyongfei · 发表于 2015-12-11 19:46:29

A6237106 发表于 2015-12-11 10:49
我明白你说的。但是你想过没。两个菜 20 但是通过修改js改成一块这样明显不安全。虽然后台发货时能看到一 ...

因为支付功能本来就是前台完成的！后台管不住，
你只能这样：支付完成后，再对数据进行验证！发现不符合条件的数据，然后修改它的订单状态，并且完成退款操作，并给用户说明原因！支付宝和微信应该是可以支持退款的

A6237106 · 发表于 2015-12-13 00:05:37

自己想了个方案。前台JS计算价格后传递到后台。后台数据库查询出支付宝信息后加密返回给前台。前天解密后调用支付插件

liangyongfei · 发表于 2015-12-13 18:41:12

A6237106 发表于 2015-12-13 00:05
自己想了个方案。前台JS计算价格后传递到后台。后台数据库查询出支付宝信息后加密返回给前台。前天解密 ...

不论怎么写前台js代码都是可以修改的！只要改掉！你的验证就没了。。。

A6237106 · 发表于 2015-12-13 20:03:19

所以最好是后台调用支付宝这些关键的功能。不过可以实现后台验证。

liangyongfei · 发表于 2015-12-14 09:40:03

A6237106 发表于 2015-12-13 20:03
所以最好是后台调用支付宝这些关键的功能。不过可以实现后台验证。

都说过了！支付宝的支付是人家的功能完成的！我们只是使用插件调用支付宝的aip！
如果是后台完成，我们就必须得到用户支付宝的账户和密码！对于用户来说，这样才是不安全的！

dkerlo · 发表于 2016-9-3 21:44:03

liangyongfei 发表于 2015-12-14 09:40
都说过了！支付宝的支付是人家的功能完成的！我们只是使用插件调用支付宝的aip！
如果是后台完成，我们就 ...

请教一下，需要支付的时候，商户信息可以动态修改吗‘？’

		自动登录	找回密码
密码			注册

[结贴] 关于数据安全性疑问