Adamos

Opencart - написано программистами для программистов.
Тут посидел недельку на каникулах ради знакомства с этой системой - перевел на нее небольшой сайтик, практически не заглядывая в руководство. И так понятно, что где лежит.

Судя по тем возможностям, которые вы приписываете этому страшному хакеру, он уже сидит у вас на сервере. Вряд ли вы сможете как-то от него защититься...

Если договор нужен только для распечатки, то ни в коем случае никаких Вордов! Только PDF!
Если же в нем может понадобиться правка... Ну, я, например, сохранял на сервере сгенерированный HTML, который прекрасно правится, например, в TinyMCE и столь же прекрасно выводится в PDF, например, с помощью mPDF.

Офисные редакторы можно допускать к документообороту только после того, как однозначно и бесповоротно выявлено бессилие автоматизации.

Допустим я получил ответ в виде JSON или XML. Как мне передать этот ответ в переменную, которую буду использовать на сайте?

Распарсить этот ответ, соответственно, json_decode или simpleXML - и использовать.
Не придумывая проблемы, которых нет.
Кстати, для получения этих данных, возможно, и не нужен CURL - по прямому адресу отработает и file_get_contents.

Отвечаю на заглавный вопрос: отключись от интернета на месяц.
От этого еще никто не умирал, правда.
Книжка, заготовка сайта на локалхосте, куча времени, освободившаяся от серфинга... Лепота же!
Можно предварительно снести с компьютера винду со всеми игрушками - тоже здорово поможет.

Кое-кто сталкивался

Делаете невидимую форму с action=скрипт Робокассы.
На submit видимой формы (с одной суммой) вешаете ajax-запрос к сайту насчет остальных полей, заполняете ими невидимую форму, делаете ей submit.
И всех делов.

MySQL самостоятельно умеет работать с датой и временем - в частности, приводить его к timestamp и прибавлять интервалы.
RTFM

curl возвращает false в случае ошибки.
json_decode от него делать бесполезно.
И если аргумент в неправильной кодировке, декодирован он тоже будет в пустоту.

Ну, и использование $groupCounter демонстрирует, что это, похоже, ваш первый РНР-скрипт ;)

А стоит ли делать нечто наколенное?
Если у вас есть интерес, как юзеры ходят на сайт - значит, скорее всего, есть интерес к статистике и аналитике посещений. Прикручивайте ее, а уж по этим данным давать бонусы, когда захочется, или проводить иные акции будет несложно.

UPDATE table SET field='new_value' WHERE field='old_value'

Если в таблице нет строк, в которых field='old_value', то RowCount() вернет 0, даже если запрос прошел успешно.

Инструменты для таких целей, насколько мне известно, выглядят примерно так:
- все фразы разбиваются на слова, у них ищется морфологическая основа
- в базе хранятся все слова и фразы, в которых они встречаются (точнее, уже id слова в таблице слов и id фразы в хранилище фраз - там необязательно хранится именно фраза, но она может быть оттуда восстановлена)
- по входящей фразе вы делаете то же самое - разбираете на слова и по базе находите фразы, в которых эти слова встречаются
Вот потом уже на этой, довольно ограниченной, выборке вы можете применять сколь угодно изощренный поиск.

Отставить велосипеды!

Вам не нужны ни распространенные методы, ни капчи и скрипты.
У вас форма заказа. Что в ней должно быть - вам примерно известно.
Чего в ней не должно быть - тоже (тэгов, ссылок и прочего добра, которое туда будут пихать только боты).
Разбираете, что пришло, и определяете - текст вам пришел или мешанина из скриптов и ссылок. Первое обрабатываете, как положено, второе - ну, можно в лог записать на всякий пожарный...
И все.

У меня на сайте форма обратной связи защищена капчей от Битрикса. Ботам эта капча и защита самого Битрикса - "по хрену мороз". Но нормальный пользователь просто не будет заполнять форму такой хренью, которую шлют боты. Не спутаешь...