PayPal按钮集成支付：订单处理的安全与数据传递技术咨询

一、改用POST方式传递参数到感谢页的实现方法 #

PayPal官方的actions.redirect仅支持GET跳转，但你可以自行通过前端代码创建隐藏表单，以POST方式提交交易参数到自定义感谢页，规避GET参数易被篡改的风险。具体实现如下：

替换onApprove回调中原有的actions.redirect代码，改为创建并提交POST表单：

return actions.order.capture().then(function(orderData) {
    const transaction = orderData.purchase_units[0].payments.captures[0];
    
    // 创建隐藏表单
    const form = document.createElement('form');
    form.method = 'POST';
    form.action = 'https://www.example.com/thank_you.php';
    
    // 添加交易ID参数
    const transactionIdInput = document.createElement('input');
    transactionIdInput.type = 'hidden';
    transactionIdInput.name = 'transactionid';
    transactionIdInput.value = transaction.id;
    form.appendChild(transactionIdInput);
    
    // 添加交易状态参数
    const statusInput = document.createElement('input');
    statusInput.type = 'hidden';
    statusInput.name = 'transactionstatus';
    statusInput.value = transaction.status;
    form.appendChild(statusInput);
    
    // 提交表单
    document.body.appendChild(form);
    form.submit();
});

在thank_you.php中，通过$_POST['transactionid']和$_POST['transactionstatus']接收参数即可。重点提示：无论用GET还是POST，后端都必须调用PayPal API验证交易真实性，不能仅依赖前端传递的参数。

二、页面内显示结果时，将交易数据传递给PHP存储订单 #

如果选择在当前页面展示支付结果，可通过AJAX（Fetch API）将交易ID和状态异步提交到PHP后端，完成订单存储，步骤如下：

1. 前端AJAX提交代码 #

在onApprove回调中，获取交易数据后发起POST请求到PHP接口：

return actions.order.capture().then(function(orderData) {
    const transaction = orderData.purchase_units[0].payments.captures[0];
    
    // 显示成功提示
    const element = document.getElementById('paypal-button-container');
    element.innerHTML = `<h3>Thank you for your payment! ${transaction.status} ${transaction.id}</h3>`;
    
    // 异步提交到PHP后端
    fetch('save_order.php', {
        method: 'POST',
        headers: {
            'Content-Type': 'application/json',
        },
        body: JSON.stringify({
            transaction_id: transaction.id,
            transaction_status: transaction.status,
            // 可额外传递订单号、用户ID等业务数据
            order_id: 'YOUR_LOCAL_ORDER_ID',
            user_id: 'CURRENT_USER_ID'
        })
    })
    .then(response => response.json())
    .then(data => {
        data.success ? console.log('订单存储成功') : console.error('订单存储失败:', data.message);
    })
    .catch(error => console.error('提交请求失败:', error));
});

2. 后端PHP处理代码（save_order.php） #

PHP端需先验证交易真实性（调用PayPal API查询订单），确认合法后再执行存储逻辑：

<?php
// 接收前端JSON数据
$input = file_get_contents('php://input');
$data = json_decode($input, true);

// 校验必填参数
if(!isset($data['transaction_id']) || !isset($data['transaction_status'])) {
    echo json_encode(['success' => false, 'message' => '参数缺失']);
    exit;
}

// PayPal沙盒API配置
$clientId = 'YOUR_SANDBOX_CLIENT_ID';
$clientSecret = 'YOUR_SANDBOX_CLIENT_SECRET';
$orderApiUrl = 'https://api-m.sandbox.paypal.com/v2/checkout/orders/' . $data['transaction_id'];

// 获取PayPal访问令牌
$tokenCh = curl_init('https://api-m.sandbox.paypal.com/v1/oauth2/token');
curl_setopt($tokenCh, CURLOPT_POST, true);
curl_setopt($tokenCh, CURLOPT_HTTPHEADER, [
    'Authorization: Basic ' . base64_encode($clientId . ':' . $clientSecret),
    'Content-Type: application/x-www-form-urlencoded'
]);
curl_setopt($tokenCh, CURLOPT_POSTFIELDS, 'grant_type=client_credentials');
curl_setopt($tokenCh, CURLOPT_RETURNTRANSFER, true);
$tokenRes = json_decode(curl_exec($tokenCh), true);
curl_close($tokenCh);
if(!isset($tokenRes['access_token'])) {
    echo json_encode(['success' => false, 'message' => '获取PayPal令牌失败']);
    exit;
}

// 查询PayPal订单，验证交易合法性
$orderCh = curl_init($orderApiUrl);
curl_setopt($orderCh, CURLOPT_HTTPHEADER, [
    'Authorization: Bearer ' . $tokenRes['access_token'],
    'Content-Type: application/json'
]);
curl_setopt($orderCh, CURLOPT_RETURNTRANSFER, true);
$orderRes = json_decode(curl_exec($orderCh), true);
curl_close($orderCh);

// 验证订单状态与交易ID匹配
if($orderRes['status'] !== 'COMPLETED' || $orderRes['purchase_units'][0]['payments']['captures'][0]['id'] !== $data['transaction_id']) {
    echo json_encode(['success' => false, 'message' => '交易验证失败']);
    exit;
}

// 验证通过，执行订单存储（替换为你的数据库操作）
// 示例：
// $pdo = new PDO('mysql:host=localhost;dbname=your_db', 'user', 'pass');
// $stmt = $pdo->prepare("INSERT INTO orders (order_id, user_id, transaction_id, status) VALUES (?, ?, ?, ?)");
// $stmt->execute([$data['order_id'], $data['user_id'], $data['transaction_id'], $data['transaction_status']]);

echo json_encode(['success' => true, 'message' => '订单存储成功']);
?>

核心注意事项 #

无论采用哪种方式，后端必须通过PayPal API验证交易的真实性，这是防止恶意用户伪造订单的关键环节。

内容的提问来源于stack exchange，提问作者Roberto Rocco