Suis-je à l'aide de ce code PHP de mal? (en collaboration avec Bande)

Je pense que ça vaut le coup de prendre du recul et de revoir les bases. Tout d'abord, afin de sécuriser la transaction par carte de crédit, et de s'assurer de la conformité PCI, la Bande a fourni une bibliothèque javascript qui permet de crypter et transmet de la nature sensible des données de carte de crédit. Ils fournissent une exemple de formulaire

Note soigneusement le fait que le formulaire n'a pas de soumettre à l'action. Aussi prêter une attention particulière au fait qu'aucun des sensibles champs de la carte de disposer d'un nom d'attribut. Ce formulaire doit jamais être soumis par l'intermédiaire de tout moyen autre que la méthode qu'ils ont fournis. Pour essayer de le faire vous ouvre de responsabilité.

Lorsque vous validez le formulaire, à l'aide de la js classe, ils ont fourni (voir Étape 2), il vous donne en retour une carte token, qui vous dites que vous avez déjà. Vous pouvez la stocker carte jeton dans votre base de données sans aucun problème de sécurité, c'est juste un nombre arbitraire qui ne signifie rien pour un hacker.

Une fois que vous avez ce jeton, vous avez deux options:

1. utiliser immédiatement pour faire un one-temps de charge, ou
2. stocker et de créer un objet client qui vous permet de recharger plusieurs fois.

Ce que vous devez comprendre, c'est que Bande ne rangez PAS la carte jeton! Si vous le perdez, vous ne pouvez pas le récupérer. Vous devez générer un nouveau. Aussi, la seule façon vous pouvez l'utiliser pour de multiples charges est de créer un objet client. En d'autres termes, à MOINS que vous les stocker sur un client de l'objet, il n'est valable que pour une seule charge. Donc si vous charge contre elle avant de l'attacher à un objet client, il n'est plus valide.

Maintenant, revenons à l'essentiel encore une fois, comme IOIO MAD décrit, il y a deux choses que vous devez faire au-dessus de tout fichier php que vous voulez l'appeler une méthode des bandes à partir de:

1. inclure la Bande bibliothèque php
2. définir la clé secrète

La seule fois que la clé publique est utilisée, c'est quand vous réalisez que javascript appeler pour soumettre le formulaire de la carte.

Si vous voulez charger la carte immédiatement, vous avez à tourner à droite autour et faire un appel vers le serveur, l'envoi de la carte de hachage qui vous vient juste de revenir. Vous pourriez le faire avec ajax, ou en le collant dans un champ de formulaire puis valider. Étape 3 vous montre une façon de le faire.

Mais supposons que vous voulez faire d'autres choses avant le chargement de la carte. Pour développer votre exemple, disons que j'ai recueilli de ma carte bancaire du client sur une page, puis sur ma page de paiement, je veux soumettre à la charge:

<?php
require('path/to/Stripe.php'); //MUST be done before any Stripe:: call
Stripe::setApiKey("sk_test_mkGsLqEW6SLnZa487HYfJVLf");

//retrieve stored card hash. Could have got it to this page in any number of
//ways, including: stored in cookie, stored in session, stored in database.
//Let's assume stored in session for sake of simplicity of example

$cardHash = $_SESSION['stripeToken'];
?>
<div id="payment">
    <form action="charge-cards.php">
        <?php require 'Stripe.php';?>
        <input name="stripeToken" type="hidden" value="<?= $cardHash ?>" />
        <input type="submit">
    </form>
</div>

Lorsque ce formulaire est soumis, charge-cards.php obtiendrez la $cardHash de la $_POST variable, sur quoi vous allez suivre la exemple donné par Bande:

<?php
require('path/to/Stripe.php'); //MUST be done before any Stripe:: call
Stripe::setApiKey("sk_test_mkGsLqEW6SLnZa487HYfJVLf");

//Get the credit card details submitted by the form
$token = $_POST['stripeToken'];

//Create the charge on Stripe's servers - this will charge the user's card
try {
    $charge = Stripe_Charge::create(array(
    "amount" => 1000, //amount in cents, again
    "currency" => "usd",
    "card" => $token,
    "description" => "[email protected]")
    );
} catch(Stripe_CardError $e) {
    //The card has been declined
}
?>

Si vous rencontrez toujours des problèmes, employer la bonne compétences de débogage pour vérifier si oui ou non votre $_POST variable contient une carte de hachage. Si tout le reste échoue, contactez Bande de soutien à la clientèle. Leur API est top-notch, comme c'est leur documentation et de soutien.

MODIFIER 4/15/13
L'OP est l'aide de l' quick checkout méthode et à l'aide des boutons personnalisés. La plupart de ce qui précède s'applique toujours.

Le code présenté dans la section de Boutons affecte un gestionnaire de clic sur le bouton personnalisé, qui retourne une fonction de rappel qui lorsqu'il est exécuté, ajoute un caché d'entrée à un formulaire, attribue le stripeToken de ce champ, et soumet le formulaire. Juste avant que le formulaire est soumis, de la console.le journal ou alerte les stripeToken à assurez-vous d'avoir une valeur légitime:

$('#customButton').click(function(){
  var token = function(res){
    var $input = $('<input type=hidden name=stripeToken />').val(res.id);

    //alert the value of stripeToken
    alert('stripeToken = ' + res.id);

    $('form').append($input).submit();
}; 

Devrait être utilisé en conjonction avec le présent:

<form action="/charge" method="post">
  <script src="https://checkout.stripe.com/v2/checkout.js" class="stripe-button"
      data-key="pk_test_yourprivatekeyhere"></script>
</form>

Donc ce qui doit arriver, c'est une fois que l'utilisateur appuie sur le bouton checkout, la forme devrait avoir un champ caché nommé "stripeToken' qui contient la valeur du jeton. Vous pouvez obtenir le jeton à partir du formulaire et l'envoyer plus tard. Alternativement, vous pouvez écouter sur le 'token' événement, qui sera lié à votre bouton:

jQuery(function($){
  var $button = $('#customButton');

  $button.on('token', function(e, token){
    $button.after('<hr /><p>Your Stripe token is: <strong>' + token.id + '</strong></p>');
  });
});

AVERTISSEMENT: je n'ai pas utilisé le simple caisse méthode encore. Ce code n'est pas testé

OriginalL'auteur Codasaurus