Олег

У тебя должна быть таблица выставленных счетов.
Различные экваринги/мерчанты различаются между собой не принципиально.
Есть те, где сперва нужно инициализировать оплату (создать счет через апи), а потом отправить пользователя по ссылке его оплачивать. В этом случае ид_оплаты присваивает платежная система.
А есть, где сам передаешь все нужные данные через метод пост на сайт платежной системы. В этом случае практически у всех известных мне платежных систем, есть поле в котором можно передать свой идентификатор.

У всех систем есть метод проверить статус оплаты по идентификатору. Именно его
нужно дополнительно проверить при возврате пользователя по урлу успеха.
Не стоит верить параметрам из гет.

Авизо (подтверждение успешной оплаты может прилетать ассинзронно на ваш хук). В этом случае после проверки достоверности ставишь флаг оплачено в своей таблице заказов

Функция mail() на шаред хостингах обычно запрещена.
Чтобы при проникновении трояна на ваш сайт не рассылали спам.
Дальше идут варианты. Можно самому ее разрешить и настроить или нет.
А потом головная боль, чтобы письмо хотя бы в папку спам попадало.

Eval is evil
Настоятельно рекомендую найти другое решение для исходной задачи.
попытки закрыть возникающую уязвимость чаще оказываются более трудоемкими чем написать сразу безопасным способом.

$_SERVER[‘REMOTE_ADDR’]. - может быть 127.0.0.1 если перед апачем стоит nginx и его конфиги не правились.
$_SERVER[‘HTTP_USER_AGENT’]

$_cookie, $_session - по хорошему нужно получить согласие, что дальнейшую навигацию сайт будет отслеживать.

про реффер кроссайтовый можно забыть 100 процентов (современные броузеры его режут)

никак !!! PHP здесь не нужен.
https://habr.com/ru/companies/cloud_mts/articles/7...
например как это делается через DNS и потом глубже погружаетесь в тему

https://habr.com/ru/companies/first/articles/683870/
или через nginx раскидывать на несколько бакендов

Есть такая вещь как intent scheme
intent:#Intent;package=имя_пакета_приложения
но дальше нужно передать что-либо подходящее (то что прописано у приложения как допустимые данные)
Официально поддерживаемое приложением
точно работают кастомные урл схемы, ну а остальное сами разберетесь.
Просто запустить я не пробывал.
вот посмотрите примеры интеграции из броузера с приложением
https://rawbt.ru/start.html
p.s. это только для андроида

В конце документации внимательно читали ? Там меж строк проскакивает, что бакенд скорее всего написан на сишарпе. И как понимаю их велосипед разбора параметров отличается от PHP.
Так, что внимательно на все их уточнения.

qz.io и прочее, например в гугле запрос "print labels cloud"
В общем это тема, на которой многие пытаются заработать.
Ну и с обработкой PDF таже ситуация.

Принтеры этикеток не умеют печатать PDF. Драйвера делают из каждой страницы картинку и посылают нужные команды ZPL, TSPL и прочих протоколов.

Если выкинуть из цепочки формат PDF, и сразу засылать в сетевой порт 9100 нужные команды принтера, то можно обойтись поднятием VPN

пора расти дальше. Php вставки в HTML как я вижу освоили.
Теперь переходите к Роутер, модель, контролер, представление (вью).
Изучити какой нибудь фреймворк

Если новичок, то для тебя пока единственое отличие в файловой системе.
Регистр букв в имени файла важен.
а будет ли это wamp или lamp (Apache+MySQL+PHP) пока возишься с CRUD и формошлепством фиолетово. Еще не факт, что тебе потребуются многопоточность и платформозависимые вещи.
Потом нет нужды ставить линукс основной операционкой.
Виртуалки и главное есть же докер.

Я накатывал по статье Kristian Lumme How To Set Up Apache and PHP from Homebrew on macOS
потом аналогично brew пакеты mysql , phpmyadmin

Давайте разберемся зачем в коде используется буферезация.
Если вы запускаете просто свой скрипт из одного файла без внешних зависимостей, то
вызова ob_start() не было, значит и закрывать нечего.

Почему же так часто мы видим в начале файла (единой точки входа) эту функцию первой ?
1) А чтобы не падали скрипты из-за огрехов программистов: могут попать символы BOM (некоторые редакторы так помечают UTF файлы), затесался перенос строки после закрывающего знака вопроса больше
2) В других случаях это костыли - нужно обработать дополнительно текст, который внешняя либа отправляет в stdout и не умеет возвращать через return.

Поэтому такое извращение и практикуется для авварийных остановов
if (ob_get_level()>0) ob_flush();
Хотя правильнее через while , так как уровней вложенности может быть более одного.

Но главное не надо так писать реальные скрипты! Вы деградируете производительность
апача. Если установлен по дефолту, то 51 клиент увидит мертвый сервер.

7 лет назад собирал себе на PHP упрощенный dns сервер
https://github.com/Muraveiko/DNS
Ожидает входящего соединения, на любой запрос ресолвит хост в ип адрес заглушки.
Запуск был оформлен как демон (служба) .
Увы, сами баш скрипты и прочее за давностью лет не сохранились.
Суть в том, что все это само стартовало при загрузке/перезагрузке сервера и можно было сделать с консоли
аналогично всем остальным службам start/stop

у вас урл кончается названием точки входа
маска выделения uuid кончается долларом (конец строки) после цифры

вот ваши урлы и не подходят под маску

настройки безопасности в броузерах не позволяют запускать автоматом скаченный файл

get_current_user — Gets the name of the owner of the current PHP script
а важно от имени кого запускается скрипт