@
sillydaddy > 如果这个交易号暴露给了卖家，那么卖家也可以作为发起人了
这是不可能的，已经有人做过验证了，如果是其他人的交易号，在你点击的时候（ AlipayJSBridge.call 后）就会弹窗提示（当前支付宝登录的账号和这个交易号对应的账号）不是同一用户，无法继续进行，说明支付宝是有验证的。
> 如果这个号是闲鱼在创建订单的时候生成的，那么这个号是否有必要暴露给买家和卖家呢？
闲鱼创建的编号是他自己商户平台订单号，支付宝会在创建订单时再生成一个交易号，这个交易号和商户订单号时相对应的（这两个编号在支付宝账单详情是可以看到的），闲鱼在他的平台上的用户订单中可以只展示 [商户订单号（买家 /卖家同时看到）] ，实际上闲鱼也是这样做的。
而这里的交易号是卖家在通过自己的支付宝账单来查找到的，这个交易号我前面就说过了，他的应用场景还有如：对账，退款等。
支付宝的场景是一个支付平台，而不是特定于某个平台去服务，他同时提供商户订单号和交易号这都是合理的。
在这里支付宝的问题是只关注了 [调起确认收货] ，而却没有验证是谁（来源）调起的。
---
我后面说的给订单加个状态来判断，这种实际上也是不合理的，因为还要考虑自动收货。