transaction.completed

Paddle webhook 漏洞：自定义数据被信任，交易事实被忽略

在Paddle webhook的处理方式中发现了一个安全漏洞，系统中错误地信任了自定义数据字段而非实际交易详情。该问题出现的原因是webhook签名验证了数据的真实性，但并未验证数据本身的准确性。具体来说，一个处理程序将`customData`中的`seats`值与`items`数组中的实际计费数量混淆，导致了错误的座位授予。建议的修复方法是使用自定义数据进行关联而非作为权威依据，确保权益来自已付费的条目，并单独处理租户授权。