server 端应该也有相应的验证，避免创建无意义的订单