如何通过PayPal智能按钮更新MySQL订单已支付标记并限制感谢页访问

我运营的网站流程如下：用户填写表单提交后，站点将信息插入MySQL数据库，随后用户通过PayPal按钮完成支付。支付完成后，PayPal会将用户重定向至example.com/thank-you?id=XXX，系统从数据库提取订单详情并发送至指定邮箱。

当前存在两个问题：

1. 数据库中没有记录订单是否完成支付的状态
2. 用户可直接输入带订单号的URL访问感谢页，我希望只有当订单在数据库中标记为「已支付（paid）」时，才允许加载该页面

请问能否在PayPal智能按钮代码中添加逻辑，将对应订单标记为「paid」？

以下是我的PayPal智能按钮代码：

<script
  src="https://www.paypal.com/sdk/js?client-id=sb"> // Required. Replace SB_CLIENT_ID with your sandbox client ID.
</script> 
    <div id="paypal-button-container" id="contine_btn"></div>
<script>
paypal.Buttons({
  createOrder: function(data, actions) {
    // This function sets up the details of the transaction, including the amount and line item details.
    return actions.order.create({
      purchase_units: [{
        invoice_id: '<?php echo $order_id; ?>',
        description: '<?php echo $details['service']; ?>',
        amount: {
          value: '<?php echo $details['cost']; ?>'
        }
      }]
    });
  },
  onApprove: function(data, actions) {
    // This function captures the funds from the transaction.
    return actions.order.capture().then(function(details) {
      // This function shows a transaction success message to your buyer.
      actions.redirect('<?php echo 'https://www.example.com/thank-you/?id='.$order_id; ?>');
    });
  }
}).render('#paypal-button-container');
</script>

1. 可以在PayPal按钮逻辑中添加标记操作，但必须结合后端验证 #

你可以在onApprove回调里，捕获支付成功后通过AJAX请求后端接口标记订单为paid。但前端代码可被篡改，所以必须搭配后端的PayPal订单真实性验证，避免恶意请求直接修改订单状态。

修改后的onApprove代码：

onApprove: function(data, actions) {
  return actions.order.capture().then(function(details) {
    // 发送AJAX请求到后端接口更新订单状态
    fetch('mark_order_paid.php', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded',
      },
      body: `order_id=<?php echo $order_id; ?>&paypal_order_id=${data.orderID}`
    })
    .then(response => response.json())
    .then(result => {
      if (result.success) {
        actions.redirect('<?php echo 'https://www.example.com/thank-you/?id='.$order_id; ?>');
      } else {
        alert('支付验证失败，请联系客服');
      }
    })
    .catch(error => {
      console.error('验证请求出错:', error);
      alert('支付验证失败，请联系客服');
    });
  });
}

2. 后端验证与更新接口（mark_order_paid.php） #

这个接口需要连接数据库，同时调用PayPal API验证订单是否真的完成，再更新订单状态：

<?php
// 替换为你的数据库连接信息
$conn = new mysqli('localhost', 'db_user', 'db_password', 'db_name');
if ($conn->connect_error) {
  die("数据库连接失败: " . $conn->connect_error);
}

$order_id = $_POST['order_id'];
$paypal_order_id = $_POST['paypal_order_id'];

// 调用PayPal API验证订单状态（强烈建议）
$client_id = '你的PayPal客户端ID';
$secret = '你的PayPal密钥';

// 获取PayPal访问令牌
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://api-m.sandbox.paypal.com/v1/oauth2/token');
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, 'grant_type=client_credentials');
curl_setopt($ch, CURLOPT_USERPWD, "$client_id:$secret");
$token_res = curl_exec($ch);
curl_close($ch);
$token_data = json_decode($token_res, true);
$access_token = $token_data['access_token'];

// 查询PayPal订单详情
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://api-m.sandbox.paypal.com/v2/checkout/orders/$paypal_order_id");
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_HTTPHEADER, [
  "Authorization: Bearer $access_token",
  "Content-Type: application/json"
]);
$order_res = curl_exec($ch);
curl_close($ch);
$order_data = json_decode($order_res, true);

// 确认订单已完成才更新状态
if ($order_data['status'] === 'COMPLETED') {
  $sql = "UPDATE orders SET status = 'paid' WHERE id = ?";
  $stmt = $conn->prepare($sql);
  $stmt->bind_param("s", $order_id);
  
  if ($stmt->execute()) {
    echo json_encode(['success' => true]);
  } else {
    echo json_encode(['success' => false, 'error' => '更新订单状态失败']);
  }
  $stmt->close();
} else {
  echo json_encode(['success' => false, 'error' => 'PayPal订单未完成']);
}

$conn->close();
?>

3. 限制感谢页访问权限 #

在thank-you.php开头添加校验逻辑，只有已支付的订单才能加载页面：

<?php
// 连接数据库
$conn = new mysqli('localhost', 'db_user', 'db_password', 'db_name');
if ($conn->connect_error) {
  die("数据库连接失败: " . $conn->connect_error);
}

$order_id = $_GET['id'];
$sql = "SELECT status FROM orders WHERE id = ?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $order_id);
$stmt->execute();
$stmt->bind_result($status);
$stmt->fetch();

// 订单未支付则跳转
if ($status !== 'paid') {
  header('Location: https://www.example.com/error');
  exit;
}

// 订单已支付，继续执行加载页面、发送邮件等操作
// ...
?>

重要提醒 #

• 永远不要只依赖前端代码更新订单状态，后端的PayPal API验证是必须的，防止恶意篡改
• 更可靠的方式是使用PayPal Webhook：当PayPal确认支付完成后，主动向你的后端发送通知，后端再更新订单状态。即使用户支付后关闭页面，Webhook仍会触发，避免遗漏状态更新

内容的提问来源于stack exchange，提问作者user3084703