Stripe支付成功跳转触发Mod_Security报错问题求助

问题概述 #

本地XAMPP环境下PHP+Stripe Checkout支付系统运行正常，但部署到HostGator主机后，支付完成跳转至success_url时出现错误：

Not Acceptable! An appropriate representation of the requested resource could not be found on this server. This error was generated by Mod_Security.

移除URL参数后跳转仅显示空白页，问题未解决。

核心原因及解决方案 #

1. Mod_Security规则拦截请求 #

HostGator默认启用的Mod_Security防火墙可能将success_url中的参数（如Stripe的session_id）或页面内的SQL操作判定为风险请求。

解决步骤：

• 联系HostGator支持：要求他们查看Mod_Security的错误日志，定位被拦截的规则ID，请求临时或永久放行相关规则。这是最直接的解决方式，因为Mod_Security的规则配置权限通常在主机商侧。
• 改用Stripe Webhook处理逻辑：避免在success_url中直接传递参数，通过Webhook监听checkout.session.completed事件，在后台完成数据库插入、邮件发送等操作，再跳转至成功页面（推荐方案）。
• 编码URL参数：对success_url中的参数进行URL编码，降低被拦截概率：

  'success_url' => 'https://marisainforma.mx/PagosStripe/prueba.php?id_curso='. urlencode($idCurso) . '&session_id={CHECKOUT_SESSION_ID}',
  

2. 空白页问题排查（移除参数后） #

空白页通常是PHP错误被抑制导致，需开启错误显示定位问题：

解决步骤：

• 开启错误显示：在支付成功页（prueba.php）顶部添加以下代码：

  error_reporting(E_ALL);
  ini_set('display_errors', 1);
  ini_set('display_startup_errors', 1);
  

• 验证文件路径与常量配置：检查dirs.php中定义的VENDOR_PATH、MODELS_PATH等常量在HostGator环境下是否正确，$_SERVER['DOCUMENT_ROOT']的实际路径可能与本地XAMPP不同。
• 检查Stripe密钥配置：确保生产环境使用的是Stripe生产API密钥，而非测试密钥，同时密钥权限配置正确。

3. 代码中的潜在问题修正 #

（1）SQL注入风险与Mod_Security拦截

当前代码使用sprintf拼接SQL语句，不仅存在注入风险，还可能被Mod_Security判定为恶意请求，需改为预处理语句：

// 替换原有的查询代码
$sqlQ = "SELECT * FROM compras_stripe WHERE stripe_checkout_session_id = ?";
$stmt = $con->prepare($sqlQ);
$stmt->bind_param("s", $session_id);
$stmt->execute();
$result = $stmt->get_result();

（2）跳转前输出内容导致失败

支付成功页中header("Location: ...")之前如果有任何输出（包括空格、echo语句），会导致跳转失败并出现空白页。需确保：

• 所有require_once语句之前没有空白字符
• header调用前没有echo或其他输出操作
• 若必须输出错误信息，需先缓冲输出：

  ob_start();
  // ... 中间代码 ...
  ob_end_clean();
  header("Location: completado.php?id1=" . $id_curso);
  exit;
  

（3）变量未定义检查

添加变量存在性检查，避免未定义变量导致的致命错误：

if (!empty($_GET['session_id']) && !empty($_GET['id_curso'])) {
    $session_id = $_GET['session_id'];
    $id_curso = $_GET['id_curso'];
    // ... 后续逻辑 ...
} else {
    $statusMsg = "请求参数无效！";
    echo $statusMsg;
    exit;
}

内容的提问来源于stack exchange，提问作者JG Santos