php - HTTPS 上的漏洞利用，如何更改 https 表单值

Question

我是电子商务开发人员并且有一个问题，在购买的某些部分，我的代码会生成一个包含购买信息的提交表单。并发送到支付网关。

这个表单是在 PHP 上生成的，在生成后他写

document.getElementById('formnid').submit();

我遇到了问题，因为有人向网关发送折扣值，我不知道如何。

在某些时候，我的项目会在生成此表单并提交后保存日志。在我的日志上一切都很好。所以我想他改变了我的发送信息和网关获取信息之间的值。

有人可以给我一个光明，我需要发现他是如何做到这一点的。

提前TY

Answer 1

永远不要相信表单上的值，该值必须始终在服务器端设置\验证。根据我收集到的信息，您将值作为表单上的隐藏字段传递，而用户只是在更改它。

Answer 2

当支付确认从网关返回时，您应该检查实际支付的金额是否与应支付的金额相符。只有这样，用户才付费。可以将价格与您的表格一起发布，但必须始终在完成时进行检查。

Answer 3

如果定价/折扣信息隐藏在 DOM 上（例如，通过隐藏的输入），使用 Chrome 的“开发者工具栏”或 Firefox 的“Firebug”操作 DOM 是微不足道的，允许任何最终用户更改这些隐藏的输入，而无需缓刑。