email check im ipn-script

[syuam]

hey leute, also ein wichtiger Teil im ipn ist es ja, dass ich überprüfe ob die vom button übertragene email mit meiner "bussines"-email übereinstimmt.
Das habe ich nun so gelöst und wollte fragen ob es sicher ist:

$receiver_email = $_POST['receiver_email'];
if ($receiver_email != "[email protected]") {
    $message = "Falsche Email übertragen, nachprüfen!. Email = " . $_POST['receiver_email'] . "\n\n\n$req";
    mail("[email protected]", "Receiver Email nicht korrekt", $message, "From: [email protected]" );
    exit(); // exit script
}

Nun möchte ich zum einem wissen ob mein script sicher ist, aber auch ob es benutzerfreundlich ist.
Sollte eine andere email als meine übertragen werden, soll ich einfach "exit()" oder auch noch eine echo-Meldung ausgeben?
lg

 

[Cheffchen]

so weit is das ok,mir erschließt bloss der sin nicht?
hast so viele Email Adressen das es dynamisch machen musst?

cheffchen

 

[syuam]

ehm ne, nur die eine email-addresse von paypal.
Aber die trage ich doch im paypal-Button ein und lasse dann überprüfen ob es meine email-Adresses ist oder? also im ipn script meine ich.
lg

 

[bdt600]

Aber die trage ich doch im paypal-Button ein

Ähm, was???

 

[Cheffchen]

Hallo,

also du überprüfst deine eigene fest hinterlegt E-Mail-Adresse die ein normaler User gar nicht sieht bzw ändern kann?
Die das ändern können werden das nicht tun, denn das macht ja kein sinn, das wäre ja so als wenn man bei einer überweisung mit absicht die Kontonummer falsch schreiben würde.

Ich würde sagen das diese Prüfung kein sin macht.

Cheffchen

 

[syuam]

steht in jeder paypal-Doku, die sich mit ipn befasst:

/* CHECK THESE 4 THINGS BEFORE PROCESSING THE TRANSACTION, HANDLE THEM AS YOU WISH
1. Make sure that business email returned is your business email
2. Make sure that the transaction’s payment status is “completed”
3. Make sure there are no duplicate txn_id
4. Make sure the payment amount matches what you charge for items. (Defeat Price-Jacking) */

Punkt 1 war der Codeschnipsel oben, wieso macht das nun keinen sinn?
steht doch in jeder paypal-ipn-Doku :/
lg

 

[bdt600]

Ja aber warum die eMail-Adresse per Formular? Fix eintragen und gut ist.

 

[syuam]

naja es geht darum:
im falle von paypal ist die email-addresse sozusagen die Kontonummer auf die überwiesen wird.
Also soll man in ein input-hidden-Feld seine email-addresse eintragen, dieser eingetragene Wert soll im ipn-script nochmals mit der email-addresse verglichen werden.
Wenn true, dann wird das Geld auch auf die email-addresse des Verkäufers überwiesen.
Wenn false, dann wurde das heißen, dass die email-addresse des Verkäufers geändert wurde. ( => exit(); // exit script )
Und jetzt stell dir mal vor, du überprüfst das nicht, @cheffchen!
Also macht diese Überprüfung durchaus Sinn!

 

[bdt600]

Also soll man in ein input-hidden-Feld seine email-addresse eintragen, dieser eingetragene Wert soll im ipn-script nochmals mit der email-addresse verglichen werden.

Wo hast du diese Info her? In meinen Augen ist das Quatsch.

 

[threadi]

Also macht diese Überprüfung durchaus Sinn!

Nicht wirklich. Bei einem Kauf in einem Shop geht der Käufer einen Vertrag an der besagt, dass er an dein Verkäufer (meist Shopbetreiber) einen Betrag zukommen lassen muss. Ändert der Käufer absichtlich die übergebene PayPal-Konto-Adresse des Shopbetreibers, geht er weiterhin den Vertrag ein und muss das Geld an den Shopbetreiber überweisen. Das er das Geld an ein anderes Konto per PayPal überweist stellt ihn nicht von dem eigentlichen Kaufvertrag frei.

Da dies keine Rechtsauskunft ist, solltest Du dich darüber auch mal von einem Anwalt aufklären lassen. So eine Prüfung macht aus der Sicht imho nicht wirklich Sinn und kann weggelassen werden.

 

[syuam]

Da acker ich mich ab und überprüfe die Transaktion auf sämtliche "Betrugsversuche" und die meisten brauche ich gar nicht...
Kannst du mir nun sagen, was ich im ipn-script nun alle überprüfen sollte?
lg

 

[threadi]

Was Du prüfen musst hängt von den inhaltlichen Bedeutungen der Parameter ab. Ich weiß nicht was Du da hast, was Du ggfs. an irgendeinen Dienst (PayPal?) übergeben musst und was Du selbst tatsächlich brauchst.