Php API принятие запросов только с сайта
делаю обработку платежа на сайте. Через js на странице оплаты хочу сделать запрос к API на php, чтобы он отправлял сообщения на почту. Как мне сделать чтобы API могло принять только запрос сгенерированный через js на странице оплаты? Немного объясню проблему, если я отправлю запрос на API, то его данные будут видны. Пользователь может просто подделать этот запрос и обходить оплату. Если вся обработка оплаты лежит на js. Нужно чтобы API принимало запрос только с моего скрипта. API и скрипт на js находятся на одном сайте.
Ответы (1 шт):
Можно генерировать случайную строку, записывать её в $_SESSION и её же отправлять вместе с данными на странице оплаты (в <input type="hidden">, например). И в обработчике формы сверять строку в $_SESSION и ту, что пришла от пользователя.