寻求仅在支付成功返回后触发的安全WooCommerce钩子（QFPay网关）

• 优先使用QFPay专属回调钩子
  第三方支付网关通常会在服务器端确认支付成功后触发专属动作钩子，这是最安全的选择（完全由服务器触发，无法被客户端绕过）。你可以查看QFPay官方插件的代码，寻找类似qfpay_payment_success这类的动作钩子（一般在支付回调处理函数里会有do_action()调用）。找到后直接绑定你的自定义函数即可：

  add_action('qfpay_payment_success', 'custom_function', 10, 1);
  function custom_function($order_id) {
      // 执行你的自定义逻辑
  }
  

• 通用WooCommerce安全钩子方案
  如果找不到QFPay专属钩子，推荐使用woocommerce_payment_complete钩子——这个钩子仅在支付网关确认支付成功、订单标记为已支付时触发，属于服务器端动作，不会被用户绕过：

  add_action('woocommerce_payment_complete', 'custom_function', 10, 1);
  function custom_function($order_id) {
      $order = wc_get_order($order_id);
      // 额外验证订单支付状态，确保万无一失
      if ($order && $order->is_paid()) {
          // 这里编写你的自定义业务逻辑
      }
  }
  

  也可以通过监听订单状态变更来实现精准触发，比如只在订单变为processing或completed状态时执行：

  add_action('woocommerce_order_status_changed', 'custom_function_on_status_update', 10, 4);
  function custom_function_on_status_update($order_id, $old_status, $new_status, $order) {
      // 仅当订单状态变为已处理/完成，且确实已支付时执行
      if (in_array($new_status, ['processing', 'completed']) && $order->is_paid()) {
          // 你的自定义逻辑
      }
  }
  

• 为什么之前的钩子不合适

  • woocommerce_thankyou：用户直接访问感谢页面就能触发，属于客户端触发的钩子，存在被绕过的风险；
  • woocommerce_checkout_order_processed：订单创建完成后立即触发，此时用户可能还未完成支付，不符合你的需求。

内容的提问来源于stack exchange，提问作者Sam Lo