将Stripe client_secret放入重定向URL是否安全？

结论很明确：这是不安全的，违反了Stripe的官方安全规范。

具体风险包括： #

• URL易被记录泄露：重定向URL会被服务器日志、浏览器历史记录、第三方分析工具等留存，client_secret作为URL参数会被这些渠道捕获，暴露给服务器管理员、第三方服务甚至潜在的攻击者。而client_secret具备完成对应PaymentIntent支付流程的权限，一旦泄露，攻击者可以发起未经授权的支付操作。
• 用户转发/分享风险：用户可能会复制包含client_secret的URL并分享给他人，导致无关人员获取到敏感凭证，进而操作该PaymentIntent。
• 违反官方安全要求：Stripe明确禁止将client_secret嵌入URL中，这种做法可能会导致后续集成出现兼容性问题，甚至触发Stripe的安全机制限制你的账户操作。

正确的处理方式： #

• 通过后端会话传递：后端生成PaymentIntent后，将client_secret存储在用户的会话（Session）中，当用户跳转到支付确认页面时，页面从后端会话中读取该凭证，而非从URL参数获取。
• 通过API动态获取：支付确认页面加载时，前端向后端发起一个授权后的API请求，后端验证用户身份后返回对应的client_secret，确保只有合法用户能获取到。
• 强制HTTPS传输：确保包含client_secret的所有页面和请求都使用HTTPS（TLS加密），防止传输过程中凭证被窃听。

内容的提问来源于stack exchange，提问作者Hashim Aziz