API安全性：用户的真实日期 情况：

我正在为我的网站（Node.js+Express）创建内部API。但我完全不知道如何保护它。
我的应用程序中有付款，我需要知道用户何时付款。我使用XHR请求在服务器和前端之间传输数据

问题：

将用户的时间传输到服务器是否安全（我可以信任此信息吗？）。如果没有，我如何安全地获取它？我考虑过转移用户的位置，然后在mement.js的帮助下获得他的时间，但如果黑客可以用他的数据替换它，也不安全

黑客能从开发者控制台向我的服务器发出XHR请求吗？如果是，我如何获取他的实时信息

---

如果您至少回答我的一些问题，我会很高兴。

首先，如果您对代码没有足够的信心，我建议您不要自己编写代码。存储付款详细信息是一项重大责任，如果有任何信息泄露，可能会给您带来法律麻烦。我建议使用像贝宝这样的服务来处理付款

也就是说，我将回答你的问题：

您不能信任用户提供的任何信息。时间和地点很容易被伪造/更改

是的，可以从控制台发出（修改）请求（可能需要一些附加组件和技术知识，但这是可行的）。不可能知道用户的实时性。只能知道服务器的会话超时，并根据该超时估计用户相对于服务器时间的时间。也可以知道用户的IP并估计时区，但是使用VPN或Tor，用户更改它是很简单的

编辑：与自己编写相比，使用贝宝会提高安全性。以下是API参考：

编辑2:以下简要说明了为什么您应该永远不信任用户输入：