因为这是paypal支付接口 采用IPN返回已付款提示
<form name="payment1" action="
https://www.paypal.com/cgi-bin/webscr" method="post" target="new">
<input type="hidden" name="notify_url" value="
http://www.thepowerlevel.com/IPN.asp" />
<input type="hidden" name="return" value="
http://www.thepowerlevel.com" />
<input type="hidden" name="cmd" value="_xclick" />
<input type="hidden" name="business" value="
thepowerlevel@hotmail.com" />
<input type="hidden" name="amount" value="<%=pics%>" />
<input type="hidden" name="undefined_quantity" value="0" />
<input type="hidden" name="currency_code" value="<%=unit%>" />
<input type="hidden" name="Item_number" value="<%=inBillNo%>" />
<input type="hidden" name="pp_txn_id" value="<%=inBillNo%>" />
<input type="hidden" name="item_name" value="<%=neirong%> | NO:<%=inBillNo%> | <%=GameName%> | <%=SeveName%> | <%=Sevedays%>" />
<input type="hidden" name="charset" value="utf-8" />
<input type="hidden" name="no_shipping" value="2" />
<input type="hidden" name="no_note" value="0" />
<input type="image" src="../images/payment/paypal_122x60.jpg" name="submit" />
</form>
IPN返回地址:
http://www.thepowerlevel.com/IPN.asp 不能被用户看到
因为用户看到这个IPN地址,就可以在本地模拟一个支付接口,把价格改变后提交,那我们网站的实际价格就和他的价格不一样了,这样提交后,IPN返回到我们网站后台,他下的定单就自动变成已付款,如果我们不注意实际付款价格就和对方交易了,那就吃大亏了,这就存在漏洞!
所以在点一个paypal按扭后,就跳到这个执行页面自动将这个表单通过处理过程提交,而这段提交表单在源代码里不能被看到,否则IPN地址也会被看到