PayPal JS SDK调用createOrder()能否不传入URL直接传金额？

你觉得直接传金额JSON省事，但PayPal这么设计核心是安全——前端的所有数据都是可篡改的，要是你把24美元的金额写在前端JS里，懂点技术的用户随便改个数字（比如改成2.4美元），PayPal就会按修改后的金额收款，你亏了都没地方找。

后端创建订单的必要性：

• 防篡改：后端生成订单时，硬编码或从可靠来源（比如你的会员系统里的年费标准）获取24美元金额，传给PayPal的是后端确认的数值，前端没法动手脚。
• 绑定会员身份：用户已经登录，后端可以把订单ID和该会员的ID关联起来，后续支付成功后，能准确把年费记录到对应账户，避免支付和会员信息脱节。
• 合规与风控：PayPal的交易规则要求关键交易参数由可信的后端发起，减少欺诈风险，也方便后续的交易对账和纠纷处理。

要是你非要尝试前端直接传金额（极度不推荐），代码大概是这样：

createOrder: function(data, actions) {
    return actions.order.create({
        purchase_units: [{
            amount: {
                value: '24.00',
                currency_code: 'USD'
            }
        }]
    });
}

但再次提醒：这么做等于把金额控制权交给了用户，一旦被篡改，损失只能自己承担。官方示例的后端方式才是生产环境的正确选择，麻烦是为了安全。

内容的提问来源于stack exchange，提问作者neubert