PayPal IPN通知POST可以伪造吗？

Question

我有一个用于paypal的ipn文件，每当交易完成后，paypal都会向我发送通知，一旦完成交易并且paypal将通知发送给我的php文件，我就开始处理该交易。

用户付款 - ＆gt; Paypal将通知的POST值发送到我的php文件 - ＆gt;交易正在进行中

我的问题是，这个POST值是否可以从真正Paypal的其他地方发送？就像有人会将假的帖子值发送到我的ipn php文件中，我的脚本会认为是paypal，并会开始处理假交易。

Answer 1

如果你验证你的IPN电话，那么不，他们不能伪造。 https://developer.paypal.com/webapps/developer/docs/classic/ipn/ht_ipn/

Answer 2

理论上，Paypal IPN消息可能是假的，但通知过程包括验证步骤，允许您验证IPN消息。

此过程取自Paypal developer page：

IPN消息身份验证协议包含四个步骤：

1. PayPal HTTP向您的侦听器发送一条IPN消息，通知您事件。
2. 您的侦听器向PayPal返回一个空的HTTP 200响应。
3. 您的侦听器HTTP将完整的，未经更改的消息发送回PayPal;邮件必须包含与原始邮件相同的字段（按相同顺序），并以与原始邮件相同的方式进行编码。
4. PayPal会发回一个单词 - VERIFIED（如果邮件与原始邮件匹配）或INVALID（如果邮件与原始邮件不匹配）。