杭州神话信息技术有限公司

标题: 天天团购程序的交易支付流程风险... [打印本页]

作者: 51yulu 时间: 2011-1-12 15:20:43 标题: 天天团购程序的交易支付流程风险...

本帖最后由 51yulu 于 2011-1-12 15:23 编辑

1、订单完成后支付款项成功后，可以取消订单，后台的订单记录里没有区别取消的订单是付款的还是未付款；

问题1建议方案：支付成功后的用户不能在取消订单；

2、余额支付的问题，余额足够时通过余额付款成功后，直接交易成功，无任何状态查询该记录是余额支付成功的；
（如果程序被人恶意入侵，肆意修改余额并进行交易，资金安全啊）

问题2建议方案：加强支付部分的程序加密级别，并针对所有的充值记录可以查询，最好能接收第3方接口充值成功的成功返回状态，直接修改余额，
避免人工可以修改；

3、通过第3方支付款项成功返回后，用户和后台可见的订单的状态时等待付款，这样会给用户带来困扰的啊，至少也修改下状态告知是付款成功等待确认啊；间接还是运营者带来压力，需要逐个去核对，或者整天接客户投诉；造成这个平台的安全不信任；

问题3建议方案：通过第3方接口支付的直接修改用户订单状态并加确认的流程，这样提供用户体验和运营方的资金安全；

先说这么多，本来写了很多，因为浏览器崩溃，没了。。。晕，鄙视下GOOGLE的浏览器

总之，神话如果希望这个程序要有更多的客户使用，一定要为运营方投入和管理成本考虑，同时也希望为用户和运营者的资金安全考虑。

顺便广告下自己的：http://tuan.51yulu.com/

大家好好交流啊...

多关心下系统更深层次的风险...外在的东西很容易处理的...影响也是很微小的...

作者: netsnake1977 时间: 2011-1-12 15:32:18

今天尝试了支付宝招行支付，支付成功后订单状态会自动更新。
楼主说的取消支付成功的订单，这个在哪里操作了？我也担心这个问题，但是没有找到你说的取消功能在哪里。

作者: 放牛郎 时间: 2011-1-12 16:44:31

楼主，你好。
感谢你的反馈，但你所建议的措施，天天团购系统中均已经实施，并且实际的措施比你建议的更严格、更安全的；

1、订单支付成功后，订单就不可修改了，也是不可以取消的；见下图
[attach]1095[/attach]

2、为了保证资金的安全，每一笔订单资金都有明确的记录的；
比如前台账户充值、前台订单付款、后台账户充值、后台确认收款都有明确记录；

拿订单付款来说，系统也是先将资金冲入到用户账户，再从用户账户中扣除订单金额来开通订单；
这样的好处是，用户账户中有明细记录，是可以核对的，资金从哪里来，花到了哪里都有记录。见下图
[attach]1096[/attach]

3、对订单进行在线支付后，订单状态是实时改变的；见上面第一张图片；
另外，通过在线支付来的每一笔资金都做了安全校验的，可以防止刷新充值等；对订单支付也一样，是禁止重复支付、重复开通的；

欢迎光临杭州神话信息技术有限公司 (http://www.cenwor.com/)