一：XSS 吃啥拉啥
只测试了一个功能点，估计没啥防御
下订单后，填联系方式时，谈个框，如下图
订单详情里查看
二：订单任意支付
首先购买旅游产品。
然后抓包，改包
改包如下
支付订单(记好了还给我钱啊 ^v^)
然后查看我的订单已经到了第三步配送状态了，奇葩的是，我有两个测试的未支付的订单，在我的全部订单中居然应该支付的金额也是我修改后的金额，神马逻辑啊
看看未支付的订单
三：支付订单遍历
虽然查看订单的时候，URL上各种乱七八糟的字符，可是没啥作用啊
默认查看订单是这样
修改后边的数字既可遍历了
修复方案：
参考乌云案例，太多了