Tất cả kịch bản
Giao dịch & doanh thu
Giá và số lượng tin ở trình duyệt là lỗ doanh thu im lặng.
Checkout đẹp, nhưng API tạo đơn nhận amount từ client. Đổi một field là mua với giá sai — không cần vào admin.
Ngành hay gặpThương mại số · đặt chỗ
Phạm viWeb · API · Thanh toán
Thời lượng7–10 ngày làm việc
Thao túng giá / số lượng / mã giảm trước khi cổng thanh toán.
Nếu server không tự tính lại giá từ catalog và rule khuyến mãi, mọi kiểm tra ở UI chỉ để cho có. Kịch bản này hay đi cùng hoàn tiền: tạo đơn giá thấp rồi hoàn theo giá niêm yết.
Đây là rủi ro ban tài chính hiểu ngay. Không cần CVE. Cần trả lời: 'đơn hàng trên production có đang tin số từ điện thoại khách không?'
Trustline sẽ soi những gì
- API tạo đơn, áp mã, đổi số lượng — field nào client được gửi.
- Giá server-side có khớp catalog tại thời điểm thanh toán không.
- Idempotency: bấm thanh toán hai lần ra hai đơn hay một.
- Đối soát cổng thanh toán với số tiền hệ thống ghi nhận.
Bạn nhận được gì
- Chứng minh (trong cửa sổ test) đơn có thể lệch giá hay không.
- Quy tắc: server là nguồn giá, client chỉ là yêu cầu.
- Ưu tiên vá trước đợt campaign / flash sale.
- Báo cáo song ngữ và re-test 30 ngày.
Kịch bản khác
Giao dịch & doanh thu
Khi phân quyền API lỏng, luồng hoàn tiền có thể bị lợi dụng.
Đọc kịch bảnBảo vệ dữ liệu
Nhân sự CSKH xuất toàn bộ danh sách khách — vì quyền 'xem' bị hiểu thành 'tải hết'.
Đọc kịch bảnKiểm soát truy cập