Andreo

$mcount = preg_match_all('~\<p class=\"number\"\>([0-9]+)\<\/p~is', $str, $matches);
if (count($mcount) > 0)) {
  print_r($matches[1]);
}

Не используйте в одном методе кучу функционала. Каждый метод должен делать строго определенную функцию и возвращать значение строго определенного типа иначе будут всплывать неожиданности при обработке таких "универсальных функций".
Для вывода одной записи и списка используйте отдельные методы.
Для именования методов поглядывайте на стандарты, но не заморачивайтесь - без фанатизма. Главное в наименовании переменных и функций было понятно что это такое, желательно соблюдать синтаксис английской мовы, и обязательно следовали единому правилу именования внутри проекта.

3. Лочить кнопку на фронте, которая отправляет ваши данные по хуку, через JavaScript
4. В дополнение к п.3 - хоть и не обязательно, но можно использовать токен в форме, который инвалидируется после вашего запроса (CSRF)

Думаю что ключ ваш должен генерироваться в момент успешной покупки. Соответственно таблица с этими покупками должна зависеть от таблицы с товарами.

Если установлен apache то можно попробовать заюзать переменные окружения.
Например в .htaccess прописываете нечто
SetEnv TIMEZONE Europe/Kiev

А в коде:
date_default_timezone_set(getenv('TIMEZONE'));