FastSpring - problem oko autorizacije preko naplate

Izabrao sam FastSpring servis za procesuiranje naplate na mom sajtu. Moj sajt se hostuje na Godaddy.
Zelim da prodajem jedan video materijal koji se nalazi na mom sajtu na adresi http://www.virtus-internationa.../ristic_dusan/ristic_dusan.php
Ispod slike ima link Watch VIDEO (video je trenutno zasticen lozinkom).
Korisnik koji plati, imace mogucnost da gleda taj video naredna 3 dana.
E sada, kada korisnik izvrsi uplatu, dobija mail (generisan od FastSpring-a) u kojem se nalazi link ka stranici sa videom. Takodje dobija i broj porudzbine.
Zanima me na koji nacin tom korisniku moze da se odobri gledanje videa, a da pritom ne moze da te podatke prosledi nekome drugom za gledanje.

Nije mi baš najjasnije kako si sve to zamislio... Kako se odvija ceo taj proces prijave/plaćanja? Ja nigde na tom tvom sajtu ne vidim mogućnost za takvo nešto...

A za to pitanje, najbolje je da u tom mejlu, kojeg šalješ nakon uplate, a u kome se nalazi i taj link, pošalješ i neki privremeni password, pa da onda pri pokušaju gledanja videa sa tog linka, najpre tražiš od korisnika da unese taj password. Naravno, sve bi se to pamtilo u nekoj bazi (korisnik, njegov privremeni password, datum prijave, itd.), pa bio onda nakon ta tri dana, blokirao/brisao tu prijavu, naravno, po nekom automatizmu. Mada, opet ništa ne može da spreči tog ko se prijavio da pošalje taj link i password nekom drugom na korišćenje... Al' to je valjda njegov problem, ako on hoće da nešto što on plaća daje na korišćenje drugima. :)

Proces ide ovim redom:

1. Korisnik ide na link (jos nije postavljen na sajt)
http://sites.fastspring.com/vi...ternational/product/watchvideo

2. Unese podatke i izvrsi uplatu

3. Korisnik dobija mail, obavestenje o uplati, ID porudzbine i link ka strani sa videom.

FastSpring salje mail korisniku, ja nemam nista sa tim. U mejlu se jedino generise ID porudzbine, sve ostalo je isto (link za video).
Kako je moguce dodeliti dozvolu za gledanje na osnovu tog ID porudzbine. Recimo da taj ID (posto je jedinstven broj) bude zapravo lozinka za dozvolu gledanja.
Pretpostavljam da se preko baze moze regulisati da samo taj korisnik moze koristiti taj ID (tj. korisnik koji ga prvi upotrebi).
Problem je kako se zastiti od toga da neko ne unese neki ne postojeci ID na osnovu kojeg ce imati pristup?

NAPOMENA: sajt nema korisnicki sistem.

A da li tebi na email stiže bar neka potvrda uplate, npr. taj i taj je uspešno izvršio uplatu, ID porudžbine je taj, itd.? Moraš da imaš bar neku vezu sa tim FastSpring-om, jer potrebno je da znaš taj id porudžbine, kako bi na osnovu nje mogao da napraviš neku autentifikaciju za određeni video na sajtu. Ili ti možda hoćeš da nekako koristiš FastSpring-ovu bazu tih uplata za realizaciju autentifikacije na svom sajtu?

Za slučaj da ipak možeš da imaš uvid u te ID-eve porudžbina, onda možeš da napraviš jednu tabelu u bazi (nadam se imaš mogućnost korišćenja MySQL baze), koja bi imala recimo ova polja: id, video_id, sifra_porudzbine, datum_porudzbine. Polje video_id bi se odnosilo na sam video koji namerava da se gleda, ili na id igrača/trenera čiji video klip korisnik hoće da pregleda. Nadam se da već imaš neku bazu sa igračima/trenerima i da imaš neku "dinamiku" na sajtu. Polje sifra_porudzbine bi bio taj ID porudžbine, a datum_porudzbine je sam datum uplate, pa bi na osnovu toga mogao da realizuješ tu opciju da ta uplata važi samo 3 dana...

Tu tabelu bi (za sada) morao sam da "pumpaš" i administriraš nakon svake uplate, odnosno da unosiš nove porudžbine nakon uplata korisnika.

I na kraju, umesto onog username-a i password-a bi samo trebao da od korisnika tražiš taj id poružbine za autentifikaciju.

Samo da se pridodam na Nikolinu poruku. Naime, primetio sam da te vise zanima kako da obezbedis da samo jedna osoba moze da gleda sa jednom sifrom Iskreno, tesko ;-) Mada, mozes da smanjis sanse za to, npr. ubacivanjem Cookie-a (kod korisnika koji plati), koji ce vaziti 3 dana. To vec smanjuje sanse "zloupotrebe" iste sifre. Onda, mozes u bazu da zapisujes info o Browser-u sa kojeg je osoba usla. Sto se tice IP-a, nemoj na njega da se oslanjas, jer vecina obicnih smrtnika (bar kod nas) ima Dinamicke IP adrese I na kraju, pade mi na pamet nesto sledeceg tipa: "Uradis Java aplet koji ce sa korisnickog racunara da uzme MAC adresu (mislim da je moguce). Ako tako nesto uradis, onda si 100% siguran da nece biti nikakve zloupotrebe Mada, sve ima svoje, pa tako bi i ovo zahtevalo malo vise vremena nego prethodna resenja "

Pozdrav

Da, zanima me i zastita, i naravno da se ne moze 100% zastiti :) . Mislio sam da zastita ide preko Cookie-a i baze.
Ali imam jos jedan problem koji me muci. A to je komunikacija izmedju moje baze i porudzbina, tj. izvrsenih uplata.
Ja sam do skoro radio kao web dizajner, znaci samo dizajner. Sto se tice MYSQL i PHP-a, nemam veze.
E sad, na FastSpringu, u mom korisnickom delu video sam da imaju neke opcije za komunikacije servera, baza ili PHP skripti. A pretpostavljam da je to ono sto mi treba.
Pa ako je neko rad da mi pomogne oko toga.

Pa zar nije bolje da se u tom cilju obratiš tehničkoj podršci FastSpring-a... Jedino ako ti se na ovoj temi obrati neko ko je ranije radio sa FastSpring-om, ja, da budem iskren, nikad nisam čuo za njih, niti sam imao iskustva sa tim servisom.

A i to je ono što sam te ja pitao u mom prethodnom post-u, verovatno postoji mogućnost da se obraćaš nekoj njihovoj bazi, i da tako ide autentifikacija video klipova...

Evo upravo su me uputili kako to ide ali ima deo koji treba ja da odradim sa PHP-om i bazom. A to ne znam.
Imam opciju da unesem "Callback URL" i da izaberem HTTP POST ili HTTP GET. E sad problem je kako dalje.

Stvarno ne znam šta bi moglo da im znači to "Callback URL", ali to bi verovatno trebao da bude PHP skript na koji će oni poslati rezultat validacije...

E sad, ja ne znam jesu li oni tebi objasnili kako treba da izgleda ona forma koja se otvara nakon što se klikne na "Watch VIDEO" na stranici određenog igrača/trenera, odnosno gde ona treba da upućuje. Shodno tome pretpostavljam da bi taj Callback URL onda trebao da bude upravo npr. http://www.virtus-internationa.../ristic_dusan/ristic_dusan.php, na koji bi oni slali neki rezultat, recimo samo true ili false, na osnovu koga bi ti onda redirektovao korisnika na taj video, u slučaju uspešne validacije na FastSpring-u, ili samo ispisivao neku poruku o grešci ("Uneta porudžbina ne postoji", ili tako nešto). Samo sad ne znam da li se tu stvar komplikuje zbog LightBox-a, pošto vidim da tako otvaraš taj panel za gledanje videa, a ta forma bi se onda verovatno nalazila u nekom iframe-u...

Ali prvo se ti detaljno raspitaj kod njih vezano za to šta je uopšte Callback URL, šta oni šalju kao povratnu informaciju, itd. Verujem da postoji i neka dokumentacija vezano za to, na njihovom sajtu.

Callback URL je verovatno strana koja proverava validaciju, odnosno strana na kojoj se nalazi video.
Najmanji problem mi je da napravim drugu stranu na kojoj ce se nalaziti samo video, bez LightBox-a. Ili na vec postojecoj strani ako moze da se flash poveze sa bazom i PHP-om.
Evo jpg od ponudjenih opcija. Prvi jpg "print" je na izabranoj opciji "Remote Callback" a drugi jpg "print2" su sve opcije.

Evo da probam ja opet, pošto se niko ne javlja... :)

Mene sad zanima šta korisnik uopšte može da radi kad njemu stigne taj konfirmacioni email nakon uplate? Šta se sve nalazi u njemu? Nije mi baš najjasnije kako funkcioniše sam taj servis...

I ti screenshot-ovi koje si poslao, na šta se uopšte odnose ta podešavanja "Callback URL" i "Request Method"? Šta s njima podešavaš na svom nalogu? Mora da ima neko uputstvo gde piše na šta se to odnosi, daj da vidimo i to...

I još nešto, da li je taj ID porudžbine javan, ili se on generiše samo kad korisnik izvrši uplatu, kako bi mogao da odlgeda taj video? Da li njega vidiš samo ti, na svom nalogu? Na osnovu čega ti "štitiš" taj video klip na svom sajtu?

Meni se sve nešto čini da to neće moći da funkcioniše onako kako si ti zamislio, i da ćeš oko te autentifikacije više morati da radiš ti, a ne FastSpring...

Obicno je CallBack url adresa koju ce da okine neki servis kada se nesto desi, recimo payment servis, kad neko kupi nesto kod tebe a placa na njihovom sajtu, onda on pozove tu adresu sa nekim parametrima, izmedju ostalog sa recimo ID uspesne kupovine.
Ali to sigurno mozes dobiti ako dovoljno gledas dokumentaciju tog servisa, ili budes dovoljno dosadan kod tech podrske... Mislim, ako ti placas taj servis, 99% imas i neku podrsku ili dokumentaciju koja ti je potrebna za koriscenje tog servisa. Bar je to pravilo kod iole ozbiljnijih servisa.

Potpis

http://norway.dakipro.com/

Ovo je tacno, to je recimo neki php fajl koje ceka podatke koji stizu od servisa i obradjuje ih, stavlja u bazu ....
E sad ono sto ti nama pokusavas da objasnis da ti imas ovu opciju, koju naravno treba da iskoristis, samo sto ces tesko da je primenis bez API-ja , tj uputstva kako parametri stizu kod tebe, u kom formatu i sat koji znaci. I jos nesto ako ne znas PHP kako mislis da je implamentiras?

Potpis

www.wwwindustry.net - www.xgcdb.com

Pa zato mi je potreban neko od vas, ko ume to da uradi. Pare nisu problem, samo da se to zavrsi.
Naravno, ko zna, to je posao od dan ili dva.

Ko sto rece moj kolega:
http://www.elitesecurity.org/t265218-0#2056634
Pa ako mislis da tamo mozes naci resenje, da sakljucavamo ovde, jer ako je resenje da neko nesto napise komercijalno, to nemoz nikom biti od koristi na forumu...

Potpis

http://norway.dakipro.com/