Если новый ордер совпадает с чем-то то тут же исполняется, частично или полностью.
Если нет, то просто висит.
Он автоматически выкупится когда по его параметрам придёт запрос.
Вообще достаточно проверять количество знаков и цифры/буквы.
Всё что сложнее или мудренее бесит достаточно сильно.
Когда ваш пароль должен содержать кровь девственницы, спец символы, разный регистр и еще что-нибудь.