Paypal API-Credentials, Sicherheitsbedenken

Question

Ich entwickle ein WP-Plugin, das Paypal-Zahlungen und Fakturierung ermöglichen wird. Dieses Plugin ermöglicht es Benutzern, ihre eigenen Paypal-Konten zu verwenden, wenn sie Zahlungen akzeptieren.

Was ich bisher verstehe, ist, dass ich REST verwenden muss, um die Fakturierungs-API zu aktivieren. So lässt es mich mit zwei Optionen:

1. Lassen Sie die Benutzer ihre eigene App erstellen und geben Sie die Client-ID und den geheimen Schlüssel in den Plugin-Einstellungen.
2. meine eigene App verwenden, die ich erstellt (nur für diesen Zweck) und stattdessen mit Third Party Zahlung gehen: http://paypal.github.io/PayPal-PHP-SDK/sample/doc/payments/CreateThirdPartyPayment.html

Meine Sorge um die erste ist, dass durch die Schlüssel in der Datenbank und deren Teilnehmer gespeichert wird irgendwie kompromittiert - die Hacker können die API im Auftrag ihrer App ausführen.

Die zweite wird die geheimen Schlüssel auf der Plugin-Datei selbst zeigen - aber dann wieder, da die App nur für diesen Zweck verwendet wird und der Zahlungsempfänger/Händler nur in den Plugin-Einstellungen angegeben wird, denke ich, das ist in Ordnung? Ein weiterer Vorteil wäre, dass der Benutzer keine eigene App erstellen muss.

Welches ist besser von den zwei oder vielleicht können Sie eine dritte Option empfehlen?

Danke!

Answer 1

Nun, können Sie immer dynamische Zahlungs Tasten erzeugen (ähnlich dem, was der Assistent in paypal ist) basierend auf den Parametern Ihre Benutzereingaben in Ihrem Plugin und verwenden Sie die Express-Checkout endpoint.But Sie einige Funktionen verlieren werden (wie komplett Anpassung des Checkout-Prozesses)

Answer 2

Speichern Sie die API-Schlüssel in Ihrer Datenbank, aber salzen und hacken Sie sie, weil sie Passwörter sind. Da Sie ein CMS eines Drittanbieters verwenden, sollten Sie davon ausgehen, dass es früher oder später einen Zero-Day-Exploit geben wird und Sie früher oder später einen Hacker mit Root-Zugriff auf Ihren CMS-Administrator haben. Entwerfen Sie Ihre Datenbank und Plugins mit dieser Tatsache.