SDK безбедност

Објавено издание: SDK 0.1.3 е јавно достапен на npm. Инсталацијата не активира серверски функции.

1. Извршувајте го клиентот со клуч само на сервер. Конфигурирајте точен API origin; не прифаќајте го од купувач. API пренасочувања се одбиваат за клучот да не се пренесе на друг origin.
2. На сервер автентицирајте купувачи и проверете сопственост на кошничка/нарачка. Клучот ја овластува интеграцијата, не секој купувач што ја повикува вашата рута.
3. Применете доверливи checkout origins, HTTPS, ограничување на големина, сесија/CSRF и ограничувања по корисник. SDK проверката на origin не ја заменува авторизацијата.
4. Трајно чувајте обиди, серијализирајте паралелно создавање и усогласете неизвесни резултати. Не верувајте на прелистувачки цени, ознаки за успех или референци без проверка на сопственост.
5. Не логирајте купувачки податоци, приватни линкови и клучеви. Безбедни SDK грешки не ја чистат конфигурацијата или вашите логови.
6. Проверете потпишани непроменети тела пред ефекти и трајно спречете дупликати. Изборната agentic проверка не е трговски претплатнички систем или Stripe обработувач.

Ниту еден метод не менува надоместоци, даночно покритие, земји, салдо, резерви, рефундации, наплата на побарувања, долг или распоред за исплата. Individual продавачите и понатаму бараат одобрение за рефундација од Kordiva; клуч или SDK не дава admin овластување. Физички производи, капар, Booking, Rent-a-Car и купувачки претплати не се Individual дигитална подобност.

Повторување читања не гарантира наплата точно еднаш. Префикси се локална заштита; серверскиот запис и проверките се авторитетни. Продукциската конфигурација и безбедноста на трговскиот сервер бараат одделен преглед.

Што гарантира пакетската граница

Прелистувачкото разрешување на exports одбива внесување на SDK со клуч и Node webhook проверката. Вистински негативен Next.js build го тестира одбивањето. Во позитивните клиентски пакети се бара серверски тест-маркер и SDK транспортен код. Ова не спречува рачно впишување тајна во друг JavaScript, прикажување како prop или јавна environment променлива: тие целосно се исклучуваат од клиентски код.

Постојното apps/api-integration demo не е безбеден продукциски шаблон: прифаќа тајна во прелистувачка состојба и ја испраќа кон променлив API origin. Корекциите се предложени одделно; користете ги заштитените серверски примери на SDK.

Поврзани водичи

SDK · Checkout · Безбедност · API