Ora che ho visto anche l'allegato noto che quell'esempio è un vero disastro sotto ogni aspetto:
uso della estensione deprecata mysql_* falle di sicurezza dovute agli sql injection!!!
"SELECT * FROM utenti WHERE idTransazione=Â’$_POST[txn_id]Â’"
e se io richiedo al tuo server ?txn_id=0' OR '1' = '1 sai cosa succede? Si, che leggo il tuo intero database.
e pensa se poi faccio anche:
?txn_id=0' OR '1' = '1'; DELETE FROM utenti WHERE '1' = '1
ELIMINO IL TUO INTERO DATABASE IN UN ISTANTE!
Perdi tutte le transazioni!
Vedo inoltre un bel:
@mysql_connect(HOST,DB_USER,DB_PASSWORD) OR die();
l'operatore @ rallenta lo script e fa solo male: se vuoi disabilitare gli errori lo fai dalla configurazione di php o sistemi quella bolgia.
Tutti quei $_POST in giro DEVONO sparire ed essere validati: usa "input_validate".
E poi YIILESTENER.php ? Usi il framework yii?
<?php
//system
define("SIMULATION", 1);
define("SIMULATION_URL", "www.sandbox.paypal.com");
define("PRODUCTION_URL", "www.paypal.com");
define("PRIMARY_PAYPAL_EMAIL", "email@sito.com");
define("PRIMARY_SANDBOX_EMAIL", "admin_1284367352_biz@bluewin.ch");
//db
define("HOST", "localhost");
define("DB_USER", "root");
define("DB_NAME", "paypal");
define("DB_PASSWORD", "*******");
//messages
define("ADMIN_MAIL", "maurizio.tarchini@bluewin.ch");
define("NO_REPLY", "no_reply@site.com");
define("AMMOUNT", 50);
?>
AMMOUNT si scrive con una sola M: AMOUNT.
si beh.... nascondere la pass qui non ti servirà a nulla se non sistemi la sqlinjection.
tra l'altro i file di configurazione dovrebbero essere files in formato JSON, YAML o XML: si suppone che la configurazione possa essere fatta da una persona diversa del programmatore....
$req = 'cmd=_notify-validate';
foreach ($_POST as $key => $value)
{
$value = urlencode(stripslashes($value));
$req .= "&$key=$value";
}
Ancora $_POST, altri rischi di sicurezza!
private function sendReport()
{
if(SIMULATION)
{
$add = "- SIMULAZIONE -";
}
else
{
$add = "";
}
//messaggio all'amministratore
$subject = "$add Problema IPN";
$message = "Si è verificato un problema nella seguente transazione:\r\n\r\n";
$message .= "Nome: " . $_POST['first_name'] . ' ' . $_POST['last_name'] . "\r\n";
$message .= "email: " . $_POST['payer_email'] . "\r\n";
$message .= "id transazione: " . $_POST['txn_id'] . "\r\n";
$message .= "oggetto: " . $_POST['transaction_subject'];
mail(ADMIN_MAIL,$subject,$message,"From: " . NO_REPLY);
return;
}
NON si usa mail in php! La funzione mail è lenta, perchè far attendere l'utente tantissimo tempo su una pagina?
Tra l'altro se l'utente si stufa di aspettare e ti chiude la pagina l'amministratore non riceverà MAI la mail.
Sinceramente il fatto che tu non sia riuscito a far funzionare una transazione non mi stupisce per nulla:
non sai programmare in php (sapere la sintassi non significa saper programmare).
Se tu fossi riuscito a far funzionare la transazione sarebbe stato molto, molto, molto peggio.
Se vuoi un consiglio prendi un framework php. Studialo e affidati a lui per svolgere quante più operazioni possibili.
Per il framework yii c'è questa estensione:
yiiframework.com/extension/paypal/ ben documentata, come il resto del framework.
Spero che (anche se ti sto antipatico) sceglierai di seguire i miei consigli perchè non si scherza con i soldi e con i dati personali delle persone!
Se qualcuno dovesse rubare i dati dal tuo database e una vittima lo scoprisse... Avresti i soldi necessari per difenderti? Puoi immaginare quali conseguenze avrebbe sulle persone e/o entità coinvolte?
Inoltre i framework esistono per semplificare il lavoro mantenendo alti gli standard di sicurezza, quindi perchè non usarli?
Se non ti piace yii c'è laravel, symfony, code igniter, fuel php, silex e molti, molti altri!
Appena avrai scelto un framework e una estensione per il pagamento controlla la documentazione e torna qui appena avrai qualche problema!
Se invece (ahimè, purtroppo) hai deciso di non usare una estensione già fatta (magari perchè non c'era per il tuo framework o per altri motivi) PayPal ha fatto una libreria php semplice da utilizzare:
github.com/paypal/… con tanti esempi e ben spiegata!
domenico_rizzo
e con un prezzo fisso attraverso paypal. Una volta avvenuto il pagamento vorrei avere una sorta di notifica per far sì che possa mandare all'acquirente il prodotto. Ho cercato su Google svariate guide ma mi hanno confuso piu' che schiarirmi le idee... quindi, sapreste aiutarmi voi in qualche modo? 
