결제 금액은 서버가 정해야 하는 이유 — 금액 조작 막기

어떻게 금액이 바뀌나요

AI 가 만든 결제 화면은 종종 "화면에 있는 가격"을 그대로 결제창에 넘기고, 결제가 끝나면 결제창이 돌려준 금액으로 승인을 요청합니다. 이 흐름에서는 금액이 처음부터 끝까지 브라우저를 거칩니다.

브라우저 개발자 도구나 주소창을 조금만 다룰 줄 알면 이 값을 바꿀 수 있습니다. 예를 들어 결제 완료 후 돌아오는 주소의 amount 값이나 결제 요청의 금액을 바꾸면, 서버가 확인하지 않는 한 그 금액으로 결제가 끝나고 상품은 정상 지급됩니다.

쿠폰·할인·수량도 같은 문제입니다. "할인율 90%"나 "수량 -1"을 브라우저가 보내고 서버가 믿으면 금액이 엉뚱하게 계산됩니다.

올바른 흐름

1. 손님이 상품을 고르면 브라우저는 "상품 ID 와 수량"만 서버에 보냅니다. 금액은 보내지 않습니다.
2. 서버가 가격표(DB 나 설정 파일)에서 가격을 찾아 할인·수량을 계산하고, 주문번호와 금액을 DB 에 「결제 대기」로 저장합니다.
3. 서버가 정한 주문번호와 금액으로 결제창을 엽니다.
4. 결제가 끝나 완료 주소로 돌아오면, 서버는 그 주문번호로 저장해 둔 금액을 꺼내 돌아온 금액과 비교합니다. 다르면 승인하지 않고 손님에게 알립니다.
5. 같을 때만 결제사에 승인을 요청하고, 승인 응답의 금액과 상태도 다시 확인한 뒤 상품을 지급합니다.

토스페이먼츠에서 확인할 점

• 토스페이먼츠 결제위젯 연동 안내는 결제 요청 전에 orderId 와 amount 를 서버에 저장하고, successUrl 로 돌아온 amount 가 처음 정한 금액과 같은지 반드시 확인하라고 안내합니다. 다르면 결제를 취소하고 구매자에게 알리라고 합니다.
• 승인 요청에는 paymentKey, orderId, amount 를 함께 보냅니다. 이때 amount 는 주소에서 받은 값이 아니라 서버에 저장해 둔 값을 씁니다.
• 토스페이먼츠 안내에 따르면 결제 요청이 끝난 뒤 정해진 시간(문서 기준 10분) 안에 승인하지 않으면 승인할 수 없습니다. 오래 기다리게 하는 단계는 승인 뒤로 미룹니다.
• 시크릿 키는 서버에서만 씁니다. 승인 요청을 브라우저에서 보내면 안 됩니다.

내 AI 코딩 도구에 이렇게 맡겨 보세요

자주 묻는 질문

함께 보면 좋은 글

• 결제 중복 청구 막기 — 새로고침·두 번 클릭·재시도 대비
• 토스페이먼츠 가맹 심사 준비 — 홈페이지에서 꼭 볼 것들
• AI로 만든 앱 보안 점검 체크리스트 — 출시 전 필수

참고

• 토스페이먼츠 — 결제위젯 연동하기
• 토스페이먼츠 — 에러 코드