小程序支付只看前端传的订单状态，没做回调校验，被人白嫖了几十单商品

之前做商城小程序，支付完成后我直接看前端传的订单状态，前端说支付成功了，我就给订单标记发货，根本没对接微信支付的回调校验，结果上线不到一周，发现仓库里少了几十单货，后台查订单，全是用户模拟支付成功的请求，直接把订单标记成已付款，我这边没校验就发货了，白送了几十单商品。 后来我赶紧把支付回调校验接上，必须收到微信官方的回调通知，确认用户真的付了钱，才把订单标记成已付款，自己发货，改完之后，再也没出现过白嫖订单的事。很多新手做小程序商城，图省事，支付完直接信前端传的状态，根本不做官方回调校验，被人模拟请求白嫖商品，等发现的时候货已经发出去了，损失惨重。 真的，做在线支付，必须对接官方回调做校验，前端传的任何状态都不能信，不然随便一个改请求的人就能白拿你的商品，做电商最基础的校验不能省。