常见漏洞验证121 条

支付回调与幂等检查

支付/退款回调需验签并幂等：重复回调、手工重放、乱序回调都不能导致重复扣款、重复发货或状态错乱。

核查清单

回调是否验签（含证书与密钥管理）
同一单号重复回调的处理（幂等键/唯一约束）
乱序回调（先退款后支付）的状态机处理
对账任务与人工补单流程

回调重放类验证只在联调/测试环境进行并做好数据隔离。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌