use order number to show order rather than order id

- url中使用out_trade_no来显示订单，不用order_id
- 增加了权限判断，用户只能看到自己的订单
- 增加对order为nil时的处理
- 没有处理course被删除的情况，我觉得暂时不需要。现在只是付款之后才show order，如果要查看订单的详情，在之后的index里面做