PayPal Webhook：应在payments.payment.created还是completed时授予产品访问权？

关于两个Webhook事件的说法正确性 #

你提到的说法是正确的，两个Webhook的核心区别明确：

• payments.payment.created：仅代表用户发起了支付流程、生成了支付记录，但此时付款并未完成——用户可能中途取消支付、支付卡验证失败、余额不足，或是触发PayPal风控拦截，资金并未实际转移。
• payments.payment.completed：触发该事件时，说明用户已成功完成付款，资金已确认进入你的PayPal账户（或处于正常待结算状态），是付款完成的可靠标识。

在payments.payment.created时授予产品访问权限是否安全？ #

不安全，核心风险包括：

• 支付后续失败概率高：即使收到created事件，仍有很大概率出现支付未完成的情况，此时直接授予权限会导致你提供了服务却未收到对应款项。
• 潜在流程漏洞：即便Webhook签名验证通过，created事件本身不代表最终付款成功，依赖它授权仍可能因支付流程中断产生损失。

针对延迟问题的折中方案 #

如果payments.payment.completed的延迟影响服务体验，可以采用以下优化方式：

• 实时API查询验证：收到payments.payment.created事件后，立即调用PayPal的支付详情API（GET /v1/payments/payment/{payment_id}），查询该支付的实际状态。只有当返回状态为approved或completed时，再授予用户访问权限；若状态为created或pending，则暂不授权，等待后续payments.payment.completed事件或定期轮询状态更新。
• 临时权限+后续校验：可以给用户授予10-15分钟的临时访问权限，同时后台持续轮询支付状态。如果最终未收到payments.payment.completed事件，或API查询显示支付失败，立即收回用户的访问权限。这种方式需要完善权限回收逻辑，避免用户恶意利用临时权限。

内容的提问来源于stack exchange，提问作者RHO