Rsa97

Кто-то использовал таймстамп в микросекундах вместо таймстампа в секундах.
056715-02-02T21:11:43.000Z => 1727588121103
1727588121103 / 1000 = 1727588121.103
1727588110.303 => 2024-09-29T13:54:49.103Z

1. Валидация маршрута. Если мы не можем определить маршрут, то не можем на определить требуемые права, ни проверить валидность параметров.
2. Валидация формата данных.
3. Аутентификация пользователя - подтверждение, что пользователь действительно тот, за кого себя выдаёт.
4. Авторизация пользователя - определение списка прав.
5. Вызов метода, соответствующего маршруту. В нём проверка наличия данных и, при необходимости, проверка права пользователя на доступ к этим данным.

Ничто не мешает скриптам API дёргать скрипт WS-сервера через какой-либо интерфейс. Скажем, тот же Workerman кроме WS-сервера может поднимать HTTP(s) или чистый TCP-сервер.

Content-Length

В начале транзакции снимать сумму с баланса пользователя, записывая её вместе с идентификатором транзакции. После подтверждения перевода удалять запись. При отказе или таймауте возвращать сумму на баланс пользователя.
Как вариант - не снимать сумму, а отмечать её как заблокированную, проводя реальное уменьшение баланса после подтверждения перевода.
Ну и ограничить частоту запросов на снятие средств от одного пользователя.