重定向后获取模型 - 数据存储方法和方法PCI 合规性

Question

我的问题是在我的表单上使用 PRG 模式时如何在重定向期间保留数据。具体来说，我想在电子商务应用程序中使用它。我有三个通过重定向存储数据的选项，我对每个选项都有顾虑。我希望你们能够帮助我解决这个问题：

1.) 在 URL 字符串中存储数据

我可以将数据存储为在 URL 中传递的加密字符串。这很好，因为我不必存储信用卡信息，但我担心（也许我是错的）Google Analytics 可能会导致信用卡信息（尽管已加密）被索引并显示在搜索结果中。希望我在这个问题上是错误的，并且可以使用这种方法，因为它是最简单的。

2.) 在会话中存储数据

我可以将数据存储在会话中，但我担心某些用户将无法使用会话，因为 cookie 被禁用，这会限制应用程序的实用性。此外，我将在会话中存储加密的信用卡信息，并且 PCI 合规性表示在任何情况下都不允许我存储 CVV。

3.) 将数据存储在数据库中

我可以将数据存储在数据库中，这将解决我对会话的兼容性问题——但我仍然面临在任何情况下都不允许存储 CVV 号的问题。

看来使用 PRG 模式时，通过 URL 传递信息是最好的方法。我只是担心页面中的 Google Analytics 可能会索引 URL 中的查询字符串。尽管查询将是信用卡信息的加密且不可读的形式，但我仍然不希望它出现在任何内容上。希望我对 Analytics 会存储和索引该信息的看法是错误的。

请指教，谢谢您的帮助。

Answer 1

Ley 说您通过 URL 传递信用卡信息。

爬虫可以使用 CVV 索引页面的唯一方法是用户在提交帖子后重定向到的 URL 以某种方式泄露。您说您对 URL 中传递的信用卡信息进行了加密，但如何完成此操作的细节至关重要。

如果您只是使用相同的密钥对所有内容进行加密，然后在请求页面时解密 URL 信息并将其显示给用户进行确认，那么这肯定是不够的。例如，仅允许确认页面显示一次仍然不够，因为没有那么多 CVV 号码，任何用户都可以轻松尝试所有组合并查看它们加密的内容。所以我什至没有考虑复杂的 cryptanalisys 解决方案。

我认为可以做到这一点的一种可能方法是生成一个长随机密钥（或者只要您正在加密的信息；因为它不是那么多数据，在这种情况下您可以使用对称加密），用该密钥，并将该密钥设置为客户端上安全且短暂的 cookie（当然，全部通过 https）。这样，即使 URL 泄露，也只有该用户能够解密信用卡信息。

这也解决了您可能在 Web 服务器中记录请求的问题；由于很少记录 cookie，因此检查日志也不足以检索信用卡信息。

Answer 2

对您将传递此信息的页面禁用 Google Analytics，并确保您在所有包含该信息的页面上都有证书。使用一些基本的加密可能也是值得的。

如果您要发送 URL，您可以执行以下操作，这将为您提供额外的安全层：

$text   =   '464945645667567564564';
$key    =   'highlysecurkeyhere';

// step 1: encrypt (you can then send this through _GET as urlencoded)
$iv         =   mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_CFB), MCRYPT_RAND);
$encrypted  =   mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $key, $text, MCRYPT_MODE_CFB, $iv);
$encrypted  =   urlencode($encrypted);

// Recieving end, decoe then decrypt.
$output = mcrypt_decrypt(MCRYPT_RIJNDAEL_256, $key, urldecode($encrypted), MCRYPT_MODE_CFB, $iv);
echo $output;