接口不做签名校验，用户直接改请求参数，把订单金额从100改成了1块

之前做商城下单接口，我直接拿用户传的订单金额用，根本没做签名校验，结果有用户把请求里的订单金额从100块改成1块，直接提交，后端也没校验，就按1块钱生成了订单，我这边还发了货，等发现的时候已经亏了好多单。 后来我给所有重要接口加了签名校验，请求参数带签名，后端验证签名对不对，参数被篡改的话，直接拒绝请求，之后再也没出现过用户改订单金额的事。很多新手写接口，不做签名校验，觉得用户改不了参数，结果用户抓包直接改请求里的金额、数量，后端不校验就直接用，亏了都不知道。真的，涉及金额、数量的重要接口，一定要加签名校验，防止用户篡改参数。