فلسفة تصميم نظام القيود والمدفوعات الآمن

في قطاع التجارة الإلكترونية وأنظمة الخصم والخدمات بالشرق الأوسط، يعد استقرار معالج الدفع (Payment Processor) أمراً لا يقبل تحت أي ظرف حدوث هامش خطأ واحد بالمئة. تكرار سحب الرصيد من بطاقة العميل أو فقدان كود التحقق (Webhook Transaction Loss) قد يدمر سمعة مشروعك فورياً.

1. مكافحة السحب المزدوج باستخدام قفل قاعدة البيانات التنافسي (Pessimistic Locking)

عندما يضغط العميل على زر 'اتمام الشراء' بشكل متكرر وسريع، قد يتم إرسال طلبين متزامنين لخصم المبلغ وتوليد الفاتورة في جزء من الثانية. استخدام المعاملات المؤمنة بقفل (Database Transaction Lock) يمنع حدوث ذلك:

DB::transaction(function () use ($orderId) {
    // قفل السجل حتى اتمام المعاملة ومنع العمليات الموازية
    $order = Order::where('id', $orderId)->lockForUpdate()->first();
    if ($order->is_paid) {
        throw new PaymentAlreadyProcessedException();
    }
});

2. التحقق من التوقيع الرقمي (Signature Webhook Validation)

تعتمد بوابات الدفع الإقليمية في إبلاغ نظامك بنجاح عمليات الدفع عبر الـ Webhooks. لا تقبل أبداً تحديث حالة الطلب قبل التحقق من تطابق الرقم السري التوقيعي (HMAC/Shared Secret Signature) للتأكد من أن الطلب مرسل حقاً من بوابة الدفع وليس طلب اختراق مزيف.

3. آلية تتبع المطابقة والتسوية المزدوجة

تأكد من وجود جدول سجلات لتأكيدات الدفع (Ledger / Payment Logs) لحفظ كل استجابة JSON تأتي من البنوك أو البوابات، وهو ما يسهل العمل المحاسبي لاحقاً.