html - 任何人都可以更改 <input> 金额值吗？

Question

在我的网站上，我有一个结帐页面 - 一旦客户输入了他们的银行卡详细信息 - 他们只需点击“立即付款”。它不是 Paypal 按钮。

在确认他们的订单之前我不会收费，只需点击一下即可接受他们的订单。

我的问题是:他们可以简单地更改输入标签并将值设置为 0 以不支付任何费用吗？

请看这个:

<input type="hidden" id="total-cost-val" value="3.85">
<input name="/atg/commerce/order/purchase/CommitOrderFormHandler.commitOrder" value="Pay now" class="place-order" type="submit">    
<input name="_D:/atg/commerce/order/purchase/CommitOrderFormHandler.commitOrder" value=" " type="hidden">
<input name="/atg/commerce/order/purchase/CommitOrderFormHandler.formName" value="paymentForm" type="hidden">
<input name="_D:/atg/commerce/order/purchase/CommitOrderFormHandler.formName" value=" " type="hidden">
<input name="/atg/commerce/order/purchase/CommitOrderFormHandler.commitOrderSuccessURL" value="" type="hidden">
<input name="_D:/atg/commerce/order/purchase/CommitOrderFormHandler.commitOrderSuccessURL" value=" " type="hidden">
<input name="/atg/commerce/order/purchase/CommitOrderFormHandler.commitOrderErrorURL" value="" type="hidden">
<input name="_D:/atg/commerce/order/purchase/CommitOrderFormHandler.commitOrderErrorURL" value=" " type="hidden">
<input id="jsEnableCheck" name="/atg/commerce/order/purchase/CommitOrderFormHandler.jsCheckForCheckout" value="true" type="hidden">
<input name="_D:/atg/commerce/order/purchase/CommitOrderFormHandler.jsCheckForCheckout" value=" " type="hidden">

这是我担心的第一行 - 我不是程序员，也没有写这行，我只是从 Google Chrome 的“检查元素”功能中复制过来。

他们能否使用“编辑为 HTML”将 value = "3.85" 更改为 value = 0？

如果可以，那行得通吗？

Answer 1

作为一般规则，客户端计算机上运行的任何内容都可能被客户端破解 - 特别是 HTML。

您可以做的一件事是在服务器上为该交易创建一个 guid(或其他标识符)并有另一个输入:

<input type="hidden" id="transaction-id" value="127819A3-C0FB-404F-BFF8-D4FA2C4240EA"/>

然后将信息保存在服务器上，因此，如果他们修改了该值，他们极不可能将其变成有效交易，因此他们只能使用真实金额。

旁注:如果是 XHTML，您需要在标记末尾添加斜线:<tag />