问题描述
对过支付宝充值对接的朋友都知道需要提供一个回调地址以便在充值成功后通知我们这边的程序，这样的话我们就需要暴露回调地址如何防止回调地址被攻击？
解决方案
解决方案二：
你所谓的攻击是哪种攻击？因为支付宝之类的回调也是有签名的，所以数据安全性方面这类接口本身已经做好了防备，而且这类回调接口为了保证正确性，当你服务器没有正确响应时，它们会在指定间隔后重新发起回调所以，你所谓的攻击是哪种呢？
解决方案三：
引用1楼starfd的回复:
你所谓的攻击是哪种攻击？因为支付宝之类的回调也是有签名的，所以数据安全性方面这类接口本身已经做好了防备，而且这类回调接口为了保证正确性，当你服务器没有正确响应时，它们会在指定间隔后重新发起回调所以，你所谓的攻击是哪种呢？
回调地址中包含了我们这边的IP
解决方案四：
难道你们的域名不暴露？一般都是dns解析的，怕啥ip暴露啊
解决方案五：
是怕别人把你的服务器黑了吗？
解决方案六：
不可能不暴露。防攻击也不是什么不暴露ip的意思。随便举一些例子，如果你不理解，那么还是去“不暴露”你们的服务器（关闭服务器）吧：你可以验证对方的IP。这是最直接的做法。你可以验证对方的请求与你们之前几秒钟时间窗内发出去的信息相关。你可以制定几十个规则来约束对方的IP+tonke+内容各部分的数据范围关联权限。你可以用几个服务器的水平模式来代替单个服务器的脆弱模式。
解决方案七：
这方面不需要过早地考虑。真正有技术的人是在后期的紧急时刻看出来的，而不是一开始搞开发时就弄一大堆复杂的新鲜玩意儿。引用4楼shingoscar的回复:
是怕别人把你的服务器黑了吗？
我认为应该使工作比较清闲，所以找个事儿做做。
解决方案八：
引用6楼sp1234的回复:
我认为应该使工作比较清闲，所以找个事儿做做。
清闲也不会考虑这个问题吧
解决方案九：
支付宝通知你的服务器的时候，你可以明确知道对方是由什么ip发过来的请求，并且请求中带有了回调的参数和签名，有了这么多参数，你可以做一个验证，来判断该请求是否是支付宝发过来的
解决方案十：
引用6楼sp1234的回复:
这方面不需要过早地考虑。真正有技术的人是在后期的紧急时刻看出来的，而不是一开始搞开发时就弄一大堆复杂的新鲜玩意儿。Quote: 引用4楼shingoscar的回复:
是怕别人把你的服务器黑了吗？我认为应该使工作比较清闲，所以找个事儿做做。
对你表示无语。。。
解决方案十一：
引用5楼sp1234的回复:
不可能不暴露。防攻击也不是什么不暴露ip的意思。随便举一些例子，如果你不理解，那么还是去“不暴露”你们的服务器（关闭服务器）吧：你可以验证对方的IP。这是最直接的做法。你可以验证对方的请求与你们之前几秒钟时间窗内发出去的信息相关。你可以制定几十个规则来约束对方的IP+tonke+内容各部分的数据范围关联权限。你可以用几个服务器的水平模式来代替单个服务器的脆弱模式。
虽然觉得你有一定的水平，但是一身傲慢也是显露无遗，现实中太过于压抑了么。。。
解决方案十二：
理论上来讲回调都会加签名验签的。所以这个数据层面上是相对安全的。你可以对回调进行频率、IP地址、域名等进行验证的。再有如果你真的不想暴露真实的回调服务器，能否考虑增加前置回调服务器，也就是中间加一个缓冲。