没想到大厂也能这样：百度外卖系统让用户能反向充值

[winglight2016]

官媒报道了一则与百度外卖系统相关的案件：2017 年 10 月，北京小度科技有限公司报案，称其旗下的 “百度外卖” 平台被他人以非法手段篡改系统，将提现金额改为负数，从而实现反向充值自己账户余额，并使用账户余额在 “百度外卖” 平台上进行消费，总共被篡改 4900 余万元，下单单数覆盖全国多个地区，人数达百余人，直接消费损失 30 余万元...海淀检方呼吁广大互联网企业要注意防范网络安全漏洞。 来自： https://www.solidot.org/story?sid=55394

————以前我只试过一个小厂的 app 可以很容易绕过充值收费，万万没想到大厂也能干出这种事儿～～～

[Miy4mori]

这个接口可以说是很厉害了，不做校验的后果。

[winglight2016]

@Miy4mori 正常支付接口是不会支持负数的，这肯定是程序员接入支付时的 bug，或者故意的也难说——但是居然能验收上线，这就很神奇了

[forestyuan]

跟钱有关都不好好测试？那其他的就可想而知了

[lancerly]

可想而知 BAT 三个里面这个 B 跟其他两个比起来，真的是幼儿园都不如

[lslqtz]

余额能设成负数值。。
我是真的服