先做這件事
WooCommerce Webhook 金流：不要在沒有備份時連續試錯
付款完成後訂單未更新，常見原因是回呼 URL 無法存取、SSL／防火牆阻擋、簽章驗證或外掛處理錯誤。
本文聚焦「只用金流商正式測試模式與官方文件，不猜測端點或簽章。」。對應的使用情境是：付款成功但 WooCommerce 訂單仍待付款或未更新。。排查時請保存每一步的時間、畫面與日誌差異，才能把同時發生但無關的變更排除。
排查原則：先保存錯誤與現況，再從低風險、可回復的檢查開始；一次只改一個變因。
問題症狀
- 金流後台成功、訂單仍 Pending
- Webhook 回 403／404／500
- 重送回呼仍未更新
建立最小重現：從乾淨瀏覽器完成相同步驟，記錄每一次請求與回應。不能重現時，先查時間相關的排程、快取與日誌。
可能原因
- 01網站 URL、HTTPS 或永久網址錯誤。需要用錯誤日誌、Network 或隔離測試確認，不應只因時間接近就下結論。
- 02WAF／安全外掛阻擋。需要用錯誤日誌、Network 或隔離測試確認，不應只因時間接近就下結論。
- 03金流外掛版本、簽章或伺服器時間不一致。需要用錯誤日誌、Network 或隔離測試確認，不應只因時間接近就下結論。
修改前備份
先建立檔案與資料庫完整備份，下載到站外位置並確認可以讀取；另保存外掛、主題、PHP 版本與目前錯誤畫面。
不要把同一主機上的自動快照當唯一備份。至少複製一份到獨立位置，並保存修改目標的單獨副本。
由低風險到高風險的排查順序
-
1. 保存測試訂單與金流交易識別碼
這一步保持唯讀或可快速回復，先蒐集證據再改設定。 -
2. 從金流後台看回呼狀態與 HTTP 回應
這一步保持唯讀或可快速回復，先蒐集證據再改設定。 -
3. 確認正式 Webhook URL、SSL 與 DNS
每完成一步就重測同一個最小重現，確認問題是否改變。 -
4. 檢查 WordPress、WooCommerce 與金流日誌
每完成一步就重測同一個最小重現，確認問題是否改變。 -
5. 依官方文件在測試模式重送並驗證冪等
只把已在測試環境通過的最小變更套用到正式站，並立刻跑回歸測試。
先在 staging 重現，再把可證明有效的最小差異部署到正式站。正式站 QA 要涵蓋原問題與網站最重要流程。
如何確認修復成功
回呼 HTTP 成功、訂單只更新一次、庫存與信件正常，沒有重複扣款或重複訂單。
- 以原本的最小重現步驟再次測試。
- 檢查首頁、登入、REST API、表單與網站最重要的交易流程。
- 查看 PHP error log、瀏覽器 Console 與 Network 是否新增錯誤。
- 以 390px 手機寬度確認沒有版面級橫向溢位。
把症狀與證據對成一條排查路徑
| 目前看到的症狀 | 先驗證的原因 | 最小安全動作 |
|---|---|---|
| 金流後台成功、訂單仍 Pending | 網站 URL、HTTPS 或永久網址錯誤 | 保存測試訂單與金流交易識別碼 |
| Webhook 回 403／404／500 | WAF／安全外掛阻擋 | 從金流後台看回呼狀態與 HTTP 回應 |
| 重送回呼仍未更新 | 金流外掛版本、簽章或伺服器時間不一致 | 確認正式 Webhook URL、SSL 與 DNS |
這張表不是用來直接判定根因，而是把「看到什麼、要查什麼、哪個動作可回復」放在同一列。若第一列的證據不成立，就不要跳到高風險修改。
如何還原
若修改後問題加劇，立即還原剛才變更的檔案或設定；無法確定影響範圍時，用已驗證備份在測試環境還原，不要在正式站連續試錯。
正式還原前再備份一次故障現況。這份副本可能包含事故後新增資料，也是分析與差異補回的依據。
何時應停止自行操作
簽章、正式金鑰或重送可能影響真實款項時，停止自行修改，聯絡金流商與專業人員。
停止不是放棄，而是避免把可復原的錯誤變成停機、資料損失或資安事件。準備好時間線、備份、錯誤日誌與已嘗試步驟，能顯著縮短專業人員的診斷時間。
常見問題
可以直接在正式站測試嗎？
不建議。先備份並在測試環境重現，正式站只套用已驗證的最小變更。
需要關閉所有外掛嗎？
不應在沒有計畫時一次關閉。先保存清單，再用隔離或健康檢查方式逐步排除。
修好後要做什麼？
清除必要快取、重測主要流程、保存變更紀錄並確認監控沒有新錯誤。
官方文件與查核來源
以下文件用於核對 WordPress、WooCommerce、PHP 或資料庫行為。第三方外掛與主機設定仍需查閱該產品當前版本的正式文件。