Прием платежей PayPal

Центр логотипов PayPal в Интернете

Платежные системы. PayPal

• Введение
• Виды платежей
• Процесс оплаты
  • Покупка "в один клик"
  • Подписка
• IPN
• Примеры скриптов
  • Оплата товаров в "корзине"
  • Подписка на содержание
• Заключение
• Ссылки

Введение

Организация собственно оплаты не представляет трудностей. В этой статье я буду уделять больше внимания процессу автоматической проверки платежа с использованием IPN (Instant Payment Notification). Статья основана на собственном опыте, официальной документации PayPal и материалах независимого форума разработчиков PayPal.

Виды платежей

• оплата товаров в корзине, предоставляемой PayPal. В этом случае все операции по поддержке корзины берет на себя PayPal
• покупка товара "в один клик", без добавления товара в корзину. Этот метод также применяется для оплаты товаров в корзине, сформированной без использования PayPal
• периодические платежи, или подписка (recurring billing, subscription)

Процесс оплаты

Покупка "в один клик"

 
<form method="post" action= "http://www.paypal.com/cgi-bin/webscr">
<input type="hidden" name="cmd" value="_xclick">
<input type="hidden" name="business" value="my@email.com">
<input type="hidden" name="item_name" value="Item name">
<input type="hidden" name="item_number" value="1234">
<input type="hidden" name="amount" value="19.95">
<input type="hidden" name="no_shipping" value="1">
<input type="submit" value="Buy Now">
</form>

Описание основных параметров

В таблице приведены лишь наиболее часто используемые параметры. Полный список смотрите в документации (ссылки в конце статьи).

Подписка

PayPal предоставляет возможность организовать подписку: со счета клиента на ваш счет будет периодически переводиться определенная сумма, причем клиент имеет возможность в любой момент отменить подписку. Вы можете задать периодичность и стоимость подписки, а также пробный период, чтобы клиент мог убедиться в качестве предоставляемых вами услуг. Пробный период может быть как платным, так и бесплатным.

Пример формы:

 
<form action="http://www.paypal.com/cgi-bin/webscr" method="post">
<input type="hidden" name="cmd" value="_xclick-subscriptions">
<input type="hidden" name="business" value=  "my@email.com">
<input type="hidden" name="item_name" value="Baseball Hat Monthly">
<input type="hidden" name="item_number" value="123">
<input type="hidden" name="no_shipping" value="1">
<input type="hidden" name="a1" value=0>
<input type="hidden" name="p1" value="1">
<input type="hidden" name="t1" value="W">
<input type="hidden" name="a2" value="5.00">
<input type="hidden" name="p2" value=2>
<input type="hidden" name="t2" value="M">
<input type="hidden" name="a3" value="50.00">
<input type="hidden" name="p3" value="1">
<input type="hidden" name="t3" value="Y">
<input type="hidden" name="src" value="1">
<input type="hidden" name="sra" value="1">
<input type="hidden" name="srt" value="5">
<input type="submit" value="Subscribe">
</form>

Описание основных параметров

IPN

IPN (Instant Payment Notification) - это технология PayPal, позволяющая автоматизировать процесс обработки платежей. Суть ее заключается в том, что на сервере продавца создается специальный скрипт, и при возникновении событий, имеющих отношение аккаунту продавца (таких, как платеж, отмена платежа, создание или отмена подписки, и т.д.) сервер PayPal отправляет этому скрипту IPN - POST-запрос с информацией о транзакции. Скрипт в свою очередь посылает запрос серверу PayPal для проверки транзакции.

Итак, покупатель завершил оплату. С небольшой задержкой (до нескольких секунд) сервер PayPal отправляет IPN скрипту, указанному в настройках аккаунта или переданному в параметре notify_url. Грамотно написанный IPN-скрипт является ключом к обеспечению безопасности платежей. Если вы слышали о случаях обмана продавцов, использующих PayPal, можете быть уверены: либо они вообще не использовали IPN, либо у них "дырявый" IPN-скрипт

В первую очередь скрипт должен убедиться в том, что он действительно был вызван сервером PayPal. Для этого он должен сформировать POST-запрос к www.paypal.com/cgi-bin/webscr, передав все полученные переменные без изменения с добавлением параметра cmd со значением _notify-validate. В ответ будет возвращено либо VERIFIED в случае успешной верификации транзакции, либо INVALID в случае ошибки. В случае ответа INVALID скрипт должен завершить работу.

Затем следует проверить получателя платежа, так как потенциальный злоумышленник может изменить форму, чтобы платеж был зачислен на его счет. Получатель платежа определяется по переменным business и receiver_email. Необходимость двух переменных объясняется тем, что PayPal позволяет зарегистрировать для одного аккаунта несколько адресов email. email, указанный при создании аккаунта, является первичным (primary email). Значением receiver_email всегда является primary email. Если платеж был отправлен на дополнительный email, то он передается через business.
Если business и/или receiver_email не содержит ожидаемого значения, скрипт немедленно завершает работу.

Теперь нужно проверить сумму и валюту платежа. Такая проверка необходима, так как потенциальному злоумышленнику не составляет труда изменить сумму в форме, В случае подписки, следует проверять все параметры подписки (наличие, продолжительность и стоимость пробных периодов, продолжительность и стоимость основного цикла подписки, и т.д.).

IPN для одной и той же транзакции может отправляться более одного раза. Например, если платеж по какой-либо причине был задержан, первый IPN будет передан сразу после платежа. После того, как платеж будет завершен или отменен, будет отправлен второй IPN. Если ваш IPN-скрипт не вернул HTTP статус 200, PayPal повторит отправку IPN через некоторое время. Первый повтор будет через 10 секунд, затем при необходимости через 20, потом через 40, 80 и т.д.(до 24 часов). Если в течение 4 суток ожидаемый ответ от вашего скрипта не будет получен, попытки будут прекращены. Это можно использовать для того, чтобы не потерять данные о транзакции в случае возникновения ошибки в вашем IPN скрипте. Например, если скрипту не удалось подключиться к базе данных, в которой он сохраняет данные о транзакциях, он может вернуть HTTP статус 500, и IPN будет повторен позднее. Повторный IPN будет отправлен также, если IPN-скрипт не обращается к серверу PayPal для проверки транзакции.

Как видно из описания параметров return, rm и notify_url, IPN может передаваться двум скриптам, указанным в параметрах return и notify_url. Между ними 2 различия:

1. IPN для return будет отправлен только однократно, непосредственно после оплаты. notify_url может вызываться несколько раз (см. предыдущий параграф).
2. Вывод скрипта return будет показан пользователю. Заметьте, что если в выводе содержатся ссылки, то они должны быть абсолютными. Вывод скрипта notify_url в браузер пользователя не выводится.

В полученных POST переменных содержится информация о транзакции. Наиболее часто используемые переменные:

Дополнительные переменные, используемые с подпиской

Следующая таблица показывает, какие переменные передаются для различных IPN при подписке

Примеры скриптов

Приведу два примера скриптов, использующих PayPal IPN. Я ставлю своей целью не привести готовые скрипты, которые можно использовать методом copy/paste, а лишь проиллюстрировать общие принципы.

В первом примере покупатель оплачивает товары, находящиеся в "корзине". После оплаты администратор сайта получает email уведомление о поступлении заказа, и содержимое корзины заносится в базу данных для контроля прохождения заказа. Второй пример показывает, как можно организовать подписку на содержание.

Оплата товаров в "корзине"

Реализацию собственно "корзины" я здесь описывать не буду. Замечу лишь, что в нашем случае сессии для хранения содержимого корзины непригодны, так как мы не сможем восстановить данные сессии в нашем IPN-скрипте. Для определенности я считаю что $_COOKIE['cart_id'] содержит идентификатор корзины, по которому мы отличаем корзину одного пользователя от другого. Пусть содержимое корзины у нас хранится в базе данных MySQL, в таблице со следующей структурой:

 
CREATE TABLE cart (
  cart_id     int(11),      # идентификатор корзины
  item_id     int(11),      # идентификатор товара
  price       decimal(8,2), # цена единицы товара
  quantity    mediumint(6)  # количество
);

 
CREATE TABLE orders (
  order_id    int(11)  auto_increment, # идентификатор заказа
  txn_id      varchar(20),			 # номер транзакции
  order_date  datetime,				# дата заказа
  order_total decimal(8,2),			# общая сумма заказа
  email       varchar(50),			 # email покупателя
  first_name  varchar(50),			 # имя покупателя
  last_name   varchar(50),			 # фамилия покупателя
  street      varchar(50),			 # адрес покупателя
  city        varchar(50),			 # город
  state       varchar(50),			 # штат
  zip         varchar(15),			 # почтовый код
  country     varchar(50)			# страна
  PRIMARY KEY (id)
);

 
CREATE TABLE order_details (
  order_id    int(11),      # идентификатор заказа
  item_id     int(11),      # идентификатор товара
  price       decimal(8,2), # цена единицы товара
  quantity    mediumint(6)  # количество
);

Код скрипта, выводящего форму заказа (checkout)

<?php
  // checkout.php
  
  $paypalemail  = "my@email.com";     // email продавца
  $currency     = "USD";              // валюта
  $cart_id=intval($_COOKIE['cart_id']);

  /*
    здесь код, подключающийся к базе данных 
    и выводящий содержимое корзины
  */

  $r=mysql_query("SELECT sum(price*quantity) FROM cart WHERE cart_id=".$cart_id);
  list ($total)=mysqli_fetch_row($r);
  mysqli_free_result($r);
  $total=number_format($total,2);
  echo <<<FORM
<form method="post" action= "http://www.paypal.com/cgi-bin/webscr">
<input type="hidden" name="cmd" value="_xclick">
<input type="hidden" name="business" value="$paypalemail">
<input type="hidden" name="item_name" value="Shopping cart">
<input type="hidden" name="item_number" value="$cart_id">
<input type="hidden" name="amount" value="$total">
<input type="hidden" name="no_shipping" value=0>
<input type="hidden" name="return" value="http://myhost.com/payment_success.php">
<input type="hidden" name="rm" value=2>
<input type="hidden" name="cancel_return" value="http://myhost.com/payment_cancel.html">
<input type="hidden" name="no_shipping" value=0>
<input type="hidden" name="currency_code" value="$currency">
<input type="submit" value="Checkout"> 
</FORM>
FORM;
?>


Код скрипта payment_success.php

<?php
  // payment_success.php
  $paypalemail = "my@email.com";     // email продавца
  $adminemail  = "admin@email.com";  // email  администратора
  $currency    = "USD";              // валюта

  /********
  запрашиваем подтверждение транзакции
  ********/
  $postdata="";
  foreach ($_POST as $key=>$value) $postdata.=$key."=".urlencode($value)."&";
  $postdata .= "cmd=_notify-validate"; 
  $curl = curl_init("http://www.paypal.com/cgi-bin/webscr");
  curl_setopt ($curl, CURLOPT_HEADER, 0); 
  curl_setopt ($curl, CURLOPT_POST, 1);
  curl_setopt ($curl, CURLOPT_POSTFIELDS, $postdata);
  curl_setopt ($curl, CURLOPT_SSL_VERIFYPEER, 0); 
  curl_setopt ($curl, CURLOPT_RETURNTRANSFER, 1);
  curl_setopt ($curl, CURLOPT_SSL_VERIFYHOST, 1);
  $response = curl_exec ($curl);
  curl_close ($curl);
  if ($response != "VERIFIED") die("You should not do that ..."); 

  /********
  проверяем получателя платежа и тип транзакции, и выходим, если не наш аккаунт
  в $paypalemail - наш  primary email, поэтому проверяем receiver_email
  ********/
  if ($_POST['receiver_email'] != $paypalemail 
    || $_POST["txn_type"] != "web_accept")
      die("You should not be here ...");

  /*
    здесь код, подключающийся к базе данных 
  */ 

  /******** 
    убедимся в том, что эта транзакция не 
    была обработана ранее 
  ********/
  $r = mysql_query("SELECT order_id FROM orders WHERE txn_id='".$_POST["txn_id"]."'");
  list($duplicate) = mysqli_fetch_row($r);
  mysqli_free_result($r);
  if ($duplicate) die ("I feel like I met you before ..."); 
  /********
    проверяем сумму платежа
  ********/ 
  $cart_id = intval($_POST['item_number']);
  $r = mysql_query( "SELECT sum(price*quantity), COUNT(cart_id) FROM cart 
                      WHERE cart_id=".$cart_id);
  list ($total,$nitems) = mysqli_fetch_row($r);
  mysqli_free_result($r);
  if (!$nitems) // не удалось восстановить содержимое корзины
  {
    mail($adminemail, "IPN error", "Unable to restore cart contents\r\nCart ID: ".
      $cart_id."\r\nTransaction ID: ".$_POST["txn_id"]);
    die("I cannot recall what you paid for ... Please contact ".$adminemail); 
  }
  if ($total != $_POST["mc_gross"] || $_POST["mc_currency"] != $currency)
  {
    mail($adminemail, "IPN error", "Payment amount mismatch\r\nCart ID: "
      . $cart_id."\r\nTransaction ID: ".$_POST["txn_id"]);
    die("Out of money? Please contact ".$adminemail);
  }
   /********
     проверки завершены. формируем заказ
  ********/
  $order_date = date("Y-m-d H:i:s",strtotime ($_POST["payment_date"])); 
  mysql_query("INSERT INTO orders SET 
    txn_id      = '".$_POST["txn_id"]."',
    order_date  = '$order_date',
    order_total = $total,
    email       = '".$_POST["payer_email"]."',
    first_name  = '".mysql_escape_string($_POST["first_name"])."',
    last_name   = '".mysql_escape_string($_POST["last_name"])."',
    street      = '".mysql_escape_string($_POST["address_street"])."', 
    city        = '".mysql_escape_string($_POST["address_city"])."', 
    state       = '".mysql_escape_string($_POST["address_state"])."', 
    zip         = '".mysql_escape_string($_POST["address_zip"])."', 
    country     = '".mysql_escape_string($_POST["address_country"])."'" );
  $order_id = mysql_insert_id(); 
  $r = mysql_query("SELECT * FROM cart WHERE cart_id=".$cart_id);
  while ($row = mysql_fetch_assoc($r))
  {
    mysql_query("INSERT INTO order_details SET 
      order_id = $order_id, 
      item_id = ".$row['item_id'].",
      price = ".$row['price'].",
      quantity = ".$row['quantity']);
  }
  mysqli_free_result($r); 
  mysql_query("DELETE FROM cart WHERE cart_id=".$cart_id);
  mail($adminemail, "New order", "New order\r\nOrder ID: ". $order_id."\r\nTransaction ID: "
    .$_POST["txn_id"]);
  /* 
    сообщаем, что заказ принят, благодарим за покупку и 
    предлагаем купить еще что-нибудь */ 
?>


Использование параметра return удобно тем, что позволяет сразу после платежа выдать результат проверки пользователю. Однако такая проверка не дает 100% уверенности в том, что деньги были действительно зачислены на наш счет. Например, если покупатель платит электронным чеком (e-check), деньги будут зачислены только после обработки чека банком, причем зачисление не гарантировано. notify-url лишен этого недостатка, так как позволяет отследить момент фактического поступления денег. В следующем примере я покажу, как можно обрабатывать повторные IPN на примере подписки на содержание.

Подписка на содержание

Функция подписки PayPal очень удобна, однако имеет существенный недостаток. Дело в том, что если подписка имеет пробный период, то пользователь может отменить подписку, пока пробный период не закончился, и подписаться снова, получив таким образом еще один пробный период, и так до бесконечности. Возможны два выхода. Первый, самый простой - вообще не использовать пробные периоды. Второй - предоставлять лишь ограниченный доступ в течение пробного периода. Также имейте в виду, что не существует механизма автоматического возврата денег при отмене подписки пользователем в середине цикла.

IPN-скрипт для подписки должен обрабатывать несколько видов IPN. Это часто вызывает затруднения. Опишу подробнее различные виды IPN (txn_type)

• subscr_signup подписка создана. Этот IPN уведомляет лишь о подписке, но не о платеже.
• subscr_payment осуществлен платеж либо за пробный период (если он не бесплатный), либо за основной цикл подписки.
• subscr_failed попытка платежа завершилась неудачно. Этот IPN отправляется только как уведомление, обычно никаких действий при этом предпринимать не нужно.
• subscr_cancel подписка отменена покупателем, продавцом или автоматически (при невозможности осуществить платеж). При получении этого IPN не следует закрывать доступ пользователя к ресурсу, так как подписка может быть отменена в середине цикла, за который уже заплачено.
• subscr_eot окончание подписки. При получении этого IPN нужно запретить пользователю доступ к ресурсу.
• subscr_modify изменение параметров подписки.

Пусть имеется некий ресурс, к которому мы хотим предоставить платный доступ. Оплата составляет $10 в месяц, предоставляется неделя бесплатного ограниченного доступа.

Данные о подписчиках хранятся в таблице subscribers

 
CREATE TABLE subscribers (
  subscr_id    varchar(20)  # уникальный идентификатор подписки
  subscr_date  datetime,    # дата подписки
  payer_id     varchar(20), # идентификатор покупателя
  email        varchar(30), # email покупателя
  username     varchar(20), # имя пользователя
  passhash     varchar(32), # хэш пароля
  limited      tinyint(1)  # флаг ограниченного доступа
  PRIMARY KEY (subscr_id)
);

Код скрипта, выводящего форму подписки

<?php
  // subscribe.php
  $paypalemail  = "my@email.com";     // email продавца
  $currency     = "USD";              // валюта
  $price        = "10.00";            // стоимость подписки
  $trial        = 1;                  // длительность пробного периода
  $trialunit    = "W";                // 1 неделя

  echo <<<FORM
<form method="post" action= "http://www.paypal.com/cgi-bin/webscr">
<input type="hidden" name="cmd" value="_xclick-subscriptions">
<input type="hidden" name="business" value="$paypalemail">
<input type="hidden" name="item_name" value="Subscription">
<input type="hidden" name="no_shipping" value=0>
<input type="hidden" name="return" value="http://myhost.com/subscribed.html">
<input type="hidden" name="rm" value="1">
<input type="hidden" name="cancel_return" value="http://myhost.com/subsc_cancel.html">
<input type="hidden" name="no_shipping" value="1">
<input type="hidden" name="currency_code" value="$currency">
<input type="hidden" name="notify_url" value="http://myhost.com/ipn.php">
<input type="hidden" name="a1" value=0>
<input type="hidden" name="p1" value="$trial">
<input type="hidden" name="t1" value="$trialunit">
<input type="hidden" name="a3" value="$price">
<input type="hidden" name="p3" value="1">
<input type="hidden" name="t3" value="M">
<input type="hidden" name="usr_manage" value="1">
<input type="submit" value="Subscribe"> </FORM>
FORM;
?>


Код скрипта ipn.php

<?php
  // ipn.php
  $paypalemail = "my@email.com";     // email продавца
  $adminemail  = "admin@email.com";  // email  администратора
  $currency    = "USD";              // валюта
  $price       = 10.00;              // стоимость подписки
  $trial       = "1 W";              // длительность пробного периода
  $cycle       = "1 M";              // длительность основного цикла

  /********
  запрашиваем подтверждение транзакции
  ********/
  $postdata="";
  foreach ($_POST as $key=>$value) $postdata.=$key."=".urlencode($value)."&"; 
  $postdata.="cmd=_notify-validate";
  $curl = curl_init("http://www.paypal.com/cgi-bin/webscr");
  curl_setopt ($curl, CURLOPT_HEADER, 0);
  curl_setopt ($curl, CURLOPT_POST, 1);
  curl_setopt ($curl, CURLOPT_POSTFIELDS, $postdata);
  curl_setopt ($curl, CURLOPT_SSL_VERIFYPEER, 0);
  curl_setopt ($curl, CURLOPT_RETURNTRANSFER, 1);
  curl_setopt ($curl, CURLOPT_SSL_VERIFYHOST, 1);
  $response = curl_exec ($curl);
  curl_close ($curl); 
  if ($response != "VERIFIED") exit; 

  /********
  проверяем получателя платежа и тип транзакции, и выходим, 
  если не наш аккаунт или IPN не требует обработки
  в $paypalemail - наш  primary email, поэтому проверяем receiver_email
  ********/
  if ($_POST['receiver_email'] != $paypalemail 
      || $_POST["txn_type"] != "subscr_signup"
      || $_POST["txn_type"] != "subscr_eot"
      || $_POST["txn_type"] != "subscr_payment")
        exit;


  /* 
    здесь код, подключающийся к базе данных 
  */ 

  /******** 
    подписка ? 
  ********/ 
  if ($_POST["txn_type"] == "subscr_signup")
  {
    $r = mysql_query("SELECT payer_id FROM subscribers WHERE payer_id='".$_POST["payer_id"]."'"); 
    list($duplicate) = mysqli_fetch_row($r);
    mysqli_free_result($r);
    if ($duplicate) exit; // повторный IPN - игнорируем 
    if (isset($_POST["p2"]) 
        || $_POST["mc_currency"] != $currency 
        || $_POST["mc_amount3"] != $price 
        || $_POST["period1"] != $trial 
        || $_POST["period3"] != $cycle) exit; // неверные параметры подписки 
    $subscr_date = date("Y-m-d H:i:s",strtotime ($_POST["subscr_date"]));
    mysql_query("INSERT INTO subscribers SET 
      subscr_id   = '".$_POST["subscr_id"]."',
      subscr_date = '$subscr_date',
      payer_id    = '".$_POST["payer_id"]."',
      email       = '".$_POST["payer_email"]."',
      username    = '".$_POST["username"]."', 
      passhash    = '".md5($_POST["password"])."', 
      limited = 1"); 
    /* 
      здесь можно отправить email с именем пользователя и паролем, 
      я этого не делаю, так как пароль сгенерирован PayPal 
      и доступен подписчику на сайте PayPal в панели управления аккаунтом 
    */ 
  } 
  /******** 
    оплата ? 
  ********/ 
  elseif ($_POST["txn_type"] == "subscr_payment") 
  {
    if ($_POST["mc_currency"] != $currency 
    || ($_POST["payment_status"] != "completed" && $_POST["pending_reason"] != "intl")
    || $_POST["mc_gross"] != $price) exit;
    // после первого платежа даем полный доступ 
    mysql_query("UPDATE subscribers SET  limited=0 WHERE subscr_id='".$_POST["subscr_id"]."'");
  } 
  /******** 
    окончание подписки ? 
  ********/ 
  elseif ($_POST["txn_type"] == "subscr_eot") 
  { 
    mysql_query("DELETE FROM subscribers WHERE subscr_id='".$_POST["subscr_id"]."'");
  }
?> 


Заключение

• Никогда не доверяйте данным, полученным IPN-скриптом, до получения ответа VERIFIED от PayPal. Храните данные об обработанных транзакциях, и после получения ответа VERIFIED проверяйте, не обрабатывалась ли эта транзакция ранее.
• Для всех возможных IPN определите, какие данные вы предполагаете получить. Любое несовпадение подозрительно.
• Не используйте для идентификации покупателей payer_email - email может быть изменен. Используйте payer_id
• Получение txn_type=web_accept или txn_type=subscr_payment еще не означает, что вы получили оплату. Всегда проверяйте payment_status=completed. Единственное исключение: у вас неамериканский аккаунт и pending_reason=intl
• Ограничивайте размер передаваемого IPN-скрипту POST-запроса на уровне нескольких килобайт
  # httpd.conf
<files my_ipn_script.php>
php_admin_value post_max_size 10K
</files>
• В любой системе может произойти сбой, PayPal не является исключением. Если IPN-скрипт получил подозрительные данные, следует писать в лог и уведомлять администратора. Полезно также вывести форму, заполнив которую, пользователь может отправить сообщение о проблеме.