按照paypal推荐的方式添加快捷结帐是否安全？

Question

我从来没有创造过一个支付网络应用程序，并决定尝试使用Paypals快速结帐为我的角度应用程序。

我在那里查看文档，他们建议抛出一个<script id="paypal-checkout-script"src="https://www.paypalobjects.com/api/checkout.js"></script>标记，并使用它创建的全局paypal变量来实现他们的api。

// will help render the paypal button in HTML when this code runs
paypal.Button.render({ ...

因此，我有一个<paypal-button>组件，它将在稍后用户访问网站时在其会话期间导航到视图时使用该代码。

尽管我觉得某种恶意的东西可以将另一个脚本标记插入到HTML中，并在组件评估paypal对象变量之前这样做。

<script id="paypal-checkout-script" src="https://www.paypalobjects.com/api/checkout.js"></script>
 <!-- another script tag below changing the paypal var --> 
 <script>
    paypal = { Button: { render: 'evil' } };
 </script>

我不知道多少关于网络安全，但想澄清一下，如果这样做是可以的？

• 我应该在应用程序中执行http请求并将其分配给可能是全局const的另一个变量吗？
• 如果我继续这样做，我会为任何事情负责，或者是否有某种程度，不再是应用程序的责任，(例如，用户的计算机被僵尸/浏览器被劫持)

如有任何反馈，将不胜感激。：)

Answer 1

是的，它是安全的。想要为额外的安全性和/或自定义支付过程添加更多的层吗？，然后实现它们在文档中状态的服务器端解决方案。

Answer 2

它不是很安全，因为它是前端。一种更安全的方法是采用服务器端集成方法。