Sơ đồ Checkout: server xác nhận tiền — thiết kế đề xuất

Nguồn và phạm vi

FEATURES.md §7.2, §7.4–7.6; PLAN FR-14/15. Đề xuất mới, chưa có backend/checkout thật.
SDK và provider là hai vai trò; API cụ thể phụ thuộc phương thức tích hợp được chốt.

Chỉ server xác nhận tiền

SDK success hoặc redirect không đổi đơn thành paid. Backend xác minh chữ ký, merchant, transaction, amount/currency và order.
Event trùng không thu/ghi tiền hai lần; event cũ không hạ paid thành failed.

Ngoại lệ phải nhìn thấy

Pending/unknown: tra provider trước khi tạo lần thu mới. Đóng app rồi mở lại vẫn đọc trạng thái server.
Giá/tồn đổi cần xác nhận lại; tiền đến sau TTL giữ hàng vào ngoại lệ giao/hoàn có người duyệt.