ASP.NET MVC电商站点支付处理页禁止用户回退访问方案问询

1. 服务端添加支付流水号状态校验（最可靠方案） #

每个支付请求绑定唯一的支付流水号，支付处理页的服务端逻辑第一步先校验该流水号的处理状态：

• 如果流水号对应交易已经处理完成（成功/失败/取消），直接重定向到对应结算页/订单确认页，不执行任何支付处理逻辑
• 支付处理接口仅允许POST请求，给ASP.NET MVC对应Action添加[HttpPost]注解，浏览器回退时会默认触发“表单已过期是否重新提交”提示，即使用户确认提交也会被状态校验逻辑拦截
  代码示例：

[HttpPost]
public ActionResult PaymentProcess(string paymentNo)
{
    var paymentStatus = _paymentService.GetPaymentStatus(paymentNo);
    // 非待处理状态直接跳转，不执行支付逻辑
    if(paymentStatus != PaymentStatus.Pending)
    {
        var orderId = _paymentService.GetOrderIdByPaymentNo(paymentNo);
        return RedirectToAction("Checkout", new { orderId = orderId });
    }
    // 原有支付处理逻辑
}

2. 禁用支付处理页浏览器缓存 #

给支付处理页添加无缓存配置，让浏览器不存储该页面的快照，用户点击回退时必然触发服务端重新请求，配合上面的状态校验直接跳转，不会停留到支付处理页：

// 方案1：通过OutputCache注解配置
[OutputCache(NoStore = true, Duration = 0, VaryByParam = "None")]
[HttpPost]
public ActionResult PaymentProcess(string paymentNo)
{
    // 逻辑同上
}

// 方案2：手动设置响应头
Response.Cache.SetCacheability(HttpCacheability.NoCache);
Response.Cache.SetNoStore();
Response.Cache.SetExpires(DateTime.UtcNow.AddMinutes(-1));

3. 前端补充历史记录替换逻辑 #

支付处理完成跳转前，用JS替换当前页面的浏览器历史记录为结算页地址，用户点击回退时直接访问结算页，不会触发支付处理页请求：

// 确认支付结果、执行跳转前运行
if (window.history.replaceState) {
    // 把当前支付处理页的历史记录替换为结算页地址
    window.history.replaceState(null, document.title, '/Checkout/YourCheckoutPage');
}
// 执行跳转
window.location.href = '/Checkout/YourCheckoutPage';

4. 前端页面加载主动校验状态 #

作为补充兜底方案，支付处理页前端加载时先异步查询当前支付流水的状态，如果已经处理完成直接跳转，不需要等待用户操作：

window.onload = function() {
    // 从页面参数获取当前支付流水号
    const paymentNo = getPaymentNoFromParams();
    fetch('/Payment/GetStatus?paymentNo=' + paymentNo)
    .then(res => res.json())
    .then(data => {
        if(data.status !== 'pending') {
            window.location.href = '/Checkout/OrderPage?orderId=' + data.orderId;
        }
    })
}

优先使用前两种服务端方案组合，是最安全可靠的实现，前端方案可作为补充优化用户体验，避免出现表单重复提交的提示。

内容的提问来源于stack exchange，提问作者Ipsit Gaur