外部サイトにバックグラウンドでPOSTしたい（ページ遷移せずにPOSTしたい）

お世話になっております。ここ数日試行錯誤を繰返すも解決できないため質問させてください。

PHPにて作成中のサイトがあり、本人確認の部分を依頼者の意向で、ユーザが自身の携帯番号を入力し、SMSメールに認証コードを送信して本人確認を行う流れを考えています。

流れ的には、

１．本人確認ページで、ユーザが自身の携帯番号を入力して送信ボタン。送信先は自社サイト内。

２．受け取ったデータ（携帯番号）、そして任意の番号を生成して、そのユーザのユーザ情報に保存（アップデート）。この時のデータは変数に格納。

３．外部サイト（SMS通信提供会社）へ携帯番号と認証番号を含んだメール本文をPOSTで送信。

４．メールを受け取ったユーザは、本人確認のページにある認証番号用フォームに入力・登録。

５．入力された認証番号を参照し、合致したら本人確認終了。

とこんなイメージですが、３の外部サイト（SMS通信サービス提供会社）側にデータを渡す（POST)すると、こちら側に戻ってこないという現象に突き当たります。（その会社の仕組みはデータを受取るだけのようです）

ちなみに、外部サイトへPOSTする仕組みは以下のようにしています。

<FORM NAME="formdata" method="post" action="https://example.com/">
<INPUT type="hidden" name="token" value="123456">
<INPUT type="hidden" name="message" value="{$text}">
<INPUT type="hidden" name="phoneNumber" value="{$number}">
</form>

話を戻しますが、このままだと外部サイトへデータを渡すだけとなってしまうので、バックグラウンドでPOSTできるような仕組みがあればと色々と探しているのですが、なかなか願った情報にたどり着けません。

お恥ずかしい話かもしれませんが、

exec("nohup php -c '' 'sms.php' 'number'> /dev/null &");

などのように、バックグラウンドで動かすべく、別ファイルに（sms.php）に上記 <FORM NAME="formdata" method="post～を設置したりもしていますが、いずれも失敗で終わっています。

これまで調べた中で、ページ遷移をさせずに外部サイトにPOSTする方法は複数あるのだろうと想像していますが、ご教示頂ければと考え質問いたしました。

お忙しい中恐縮ですが、よろしくお願い申し上げます。

行動規範の内容に同意します

回答3件

ベストアンサー

一般的にこういう仕組みの場合
外部のSMS送信会社に対するPOSTをクライアントにさせることはしない
tokenを外部から見える可能性のある所にはおかない

です。

理由としては、tokenが露出することによって不特定多数のユーザが、
あなたのシステムのtokenを使って任意のSMSを送信できるようになるという脆弱性が発生するためです。
加えて、SMSは一通ごとに料金が発生するため、気づいたらスパムSMSを大量に送信されてその通信料を負担しなければいけない様な事態になります。

そのため処理としては以下の様な流れにして、エンドユーザはあくまであなたのサーバとのみ通信するような流れにするのが望ましいかと思います。

本人確認ページで、ユーザが自身の携帯番号を入力して送信ボタン。送信先は自社サイト内。
受け取ったデータ（携帯番号）、そして任意の番号を生成して、そのユーザのユーザ情報に保存（アップデート）。この時のデータは変数に格納。
**自社サーバから、**DBに格納した情報を使って、外部サイト（SMS通信提供会社）へ携帯番号と認証番号を含んだメール本文をPHPでPOSTする。(http://php.net/manual/ja/book.curl.php とかが楽でいいと思います)
メールを受け取ったユーザは、本人確認のページにある認証番号用フォームに入力・登録。
入力された認証番号を参照し、合致したら本人確認終了。

投稿2016/10/19 00:54

tanat

総合スコア18713

chapp

2016/10/19 13:11

tanatさん貴重なご指摘ありがとうございます。仰る通り、当初私が描いていた仕組みは、セキュリティー的に思わしくないですよね。バックグラウンドでPOSTすることばかりに気を取られ、ご指定いただければ気づかなかったところです。お勧めのcurlの紹介含め、ありがとうございました。動作確認のうえ、解決しましたことご報告いたします。

行動規範の内容に同意します

ページ遷移させたくないだけなら、ajaxで普通にpostするのじゃダメなんですか？

投稿2016/10/18 16:40

fromageblanc

総合スコア2724

chapp

2016/10/18 17:41

fromageblancさん早速のコメントありがとうございます。 Ajaxとのことですが、ソースなど具体的にもう少しお聞かせいただけないでしょうか？当方、Javascriptをはじめ、Ajaxなど知識が乏しく、AjaxでPOST出来る旨説明のあるサイトなど拝見していますが、そのサンプルコードを見るも、設置方法などが分からず応用できない状態です。引き続き、ご教示いただけたら幸いです。

行動規範の内容に同意します

<head>内に書いて、任意の場所でasyncPost()を実行してもらえればと ```javascript <script src="http://ajax.googleapis.com/ajax/libs/jquery/1.9.0/jquery.min.js" type="text/javascript" ></script> <script type="text/javascript"> function asyncPost() {

 var postUrl= 'https://example.com/';

var token = document.getElementsByName( "token" ) ;
var message = document.getElementsByName( "message" ) ;
var phoneNumber = document.getElementsByName( "phoneNumber" ) ;

$.ajax({
url: postUrl,
type:'POST',
dataType: 'json', // ? SMSのapiによる
data : {
token : token[0].value,
message : message[0].value,
phoneNumber : phoneNumber[0].value
},
timeout:1000,
success: function(data) { // 通信処理成功
// ここでちゃんと登録されたか確認
},
error: function(XMLHttpRequest, textStatus, errorThrown) {
// 通信処理失敗
}
});
}
</script>

投稿2016/10/18 19:45

fromageblanc

総合スコア2724

chapp

2016/10/19 13:06

fromageblancさんお疲れのところ、夜遅く（朝方）の回答をありがとうございました。感謝いたします。今回、tanatさんからの回答も拝見させていただき、ともに動作確認等行いましたが、セキュリティーを考慮し、tanatさんからのアドバイスに基づいた内容で対応いたしました。とはいえ、貴重なお時間を割いての対応、fromageblancさんへも感謝しています。ありがとうございました。

行動規範の内容に同意します

あなたの回答