WooYun.org

px大牛，给你一分钱，来套 红马HONMA高尔夫球杆。

@优个网 是么？那我晚上回去用支付宝支付试试，只校验接收的数据一般也是可以伪造的额

@px1624 有的后端还会有验证机制，服务器会校验支付宝传回的数据，与订单金额进行对比，除非大于等于，订单状态才会改变，当然，如果生成的订单就是有问题的，那么订单就可以成功支付

@BMa 就算有，一般这个传回数据是可以串改的，下班了，我回去试试，公司不能用支付宝。。。

@px1624 不是传给本地的，完成支付请求后，支付宝直接传给对端服务器

回调的时候有校验的，是不能支付成功。这类问题，商家应该有异价系统和告警吧，即使你成功了，也不出单不出货。

@byr5ec @BMa @优个网 嗯，晚上回来试了试支付，的确是最后还有层防御，串改后的支付成功后，就是直接充值到余额里面了。所以这个评级挺客观。其实研究了下，发现这个逻辑是用支付宝付款后，是先会将支付宝的钱充值到余额中，然后在用余额支付，然后余额支付的时候有判断，大概逻辑是这样子。

如果真是这样的支付逻辑，效率有点问题吧多一层信息交互，不清楚厂商出于什么样考虑。

因该不是在余额支付的时候做的判断。

还是回调做的校验，因为发现价格不对了，才把修改后的金额放到你的个人帐号里，厂商这个行为赞一下。要不然厂商还得给你退款操作。这就是个常规的支付流程。

@byr5ec 其实和你理解的不一样，这个设计是这样子的，比如你支付一个500元的东西的时候，你选择支付宝支付，那么当你支付宝支付成功后，其实是系统会自动将你支付宝支付的金额充值到你的余额中。然后在自动从余额中进行扣除，完成下单。然后余额扣除下单这步有校验，支付宝付款的那步是没有校验的，所以影响不算太大，但是还是有影响的，比如1分钱下单后，虽然是充值到了余额，但是还可以对订单进行评论之类的操作。。。

@px1624 最近测试某站的时候也是这样。厂商越来越鬼精了，本地会有一个余额数据库，是通过校验这个来确定的，提交的时候修改一下余额，看看会不会有什么影响。