94 lines
5.7 KiB
Plaintext
94 lines
5.7 KiB
Plaintext
|
服务器异步通知页面特性
|
|||
|
|
|
|||
|
|
必须保证服务器异步通知页面（notify_url）上无任何字符，如空格、HTML标签、开发系统自带抛出的
|
|||
|
|
异常提示信息等；
|
|||
|
|
支付宝是用POST方式发送通知信息，因此该页面中获取参数的方式，如：
|
|||
|
|
request.Form(“out_trade_no”)、$_POST[‘out_trade_no’]；
|
|||
|
|
支付宝主动发起通知，该方式才会被启用；
|
|||
|
|
只有在支付宝的交易管理中存在该笔交易，且发生了交易状态的改变，支付宝才会通过该方式发起服务
|
|||
|
|
器通知（即时到账交易状态为“等待买家付款”的状态默认是不会发送通知的）；
|
|||
|
|
服务器间的交互，不像页面跳转同步通知可以在页面上显示出来，这种交互方式是不可见的；
|
|||
|
|
第一次交易状态改变（即时到账中此时交易状态是交易完成）时，不仅会返回同步处理结果，而且服务器
|
|||
|
|
异步通知页面也会收到支付宝发来的处理结果通知；
|
|||
|
|
程序执行完后必须打印输出“success”（不包含引号）。如果商户反馈给支付宝的字符不是success这
|
|||
|
|
7个字符，支付宝服务器会不断重发通知，直到超过24小时22分钟。一般情况下，25小时以内完成8次通
|
|||
|
|
知（通知的间隔频率一般是：4m,10m,10m,1h,2h,6h,15h）；
|
|||
|
|
程序执行完成后，该页面不能执行页面跳转。如果执行页面跳转，支付宝会收不到success字符，会
|
|||
|
|
被支付宝服务器判定为该页面程序运行出现异常，而重发处理结果通知；
|
|||
|
|
cookies、session等在此页面会失效，即无法获取这些数据；
|
|||
|
|
该方式的调试与运行必须在服务器上，即互联网上能访问；
|
|||
|
|
该方式的作用主要防止订单丢失，即页面跳转同步通知没有处理订单更新，它则去处理；
|
|||
|
|
当商户收到服务器异步通知并打印出success时，服务器异步通知参数notify_id才会失效。也就是
|
|||
|
|
说在支付宝发送同一条异步通知时（包含商户并未成功打印出success导致支付宝重发数次通知），
|
|||
|
|
服务器异步通知参数notify_id是不变的。
|
|||
|
|
|
|||
|
|
异步返回结果的验签
|
|||
|
|
|
|||
|
|
某商户设置的通知地址为https://api.xx.com/receive_notify.htm，对应接收到通知的示例如下：
|
|||
|
|
|
|||
|
|
1
|
|||
|
|
https://api.xx.com/receive_notify.htm?
|
|||
|
|
total_amount=2.00&buyer_id=2088102116773037&body=大乐透2.1
|
|||
|
|
&trade_no=2016071921001003030200089909&refund_fee=0.00
|
|||
|
|
¬ify_time=2016-07-19 14:10:49&subject=大乐透2.1
|
|||
|
|
&sign_type=RSA&charset=utf-8¬ify_type=trade_status_sync
|
|||
|
|
&out_trade_no=0719141034-6418&gmt_close=2016-07-19 14:10:46
|
|||
|
|
&gmt_payment=2016-07-19 14:10:47&trade_status=TRADE_SUCCESS
|
|||
|
|
&version=1.0&sign=kPbQIjX+xQc8F0/A6/AocELIjhhZnGbcBN6G4MM/Hmf
|
|||
|
|
WL4ZiHM6fWl5NQhzXJusaklZ1LFuMo+lHQUELAYeugH8LYFvxnNajOvZhu
|
|||
|
|
xNFbN2LhF0l/KL8ANtj8oyPM4NN7Qft2kWJTDJUpQOzCzNnV9hDxh5AaT9
|
|||
|
|
FPqRS6ZKxnzM=
|
|||
|
|
&gmt_create=2016-07-19 14:10:44&app_id=2015102700040153
|
|||
|
|
&seller_id=2088102119685838¬ify_id=4a91b7a78a503640467525113fb7d8bg8e
|
|||
|
|
第一步： 在通知返回参数列表中，除去sign、sign_type两个参数外，凡是通知返回回来的
|
|||
|
|
参数皆是待验签的参数。
|
|||
|
|
|
|||
|
|
第二步： 将剩下参数进行url_decode, 然后进行字典排序，组成字符串，得到待签名字符串：
|
|||
|
|
|
|||
|
|
1
|
|||
|
|
body=大乐透2.1&
|
|||
|
|
buyer_id=2088102116773037&
|
|||
|
|
charset=utf-8&
|
|||
|
|
gmt_close=2016-07-19 14:10:46&
|
|||
|
|
gmt_payment=2016-07-19 14:10:47&
|
|||
|
|
notify_time=2016-07-19 14:10:49&
|
|||
|
|
notify_type=trade_status_sync&
|
|||
|
|
out_trade_no=0719141034-6418&
|
|||
|
|
refund_fee=0.00&
|
|||
|
|
subject=大乐透2.1&
|
|||
|
|
total_amount=2.00&
|
|||
|
|
trade_no=2016071921001003030200089909&
|
|||
|
|
trade_status=TRADE_SUCCESS&
|
|||
|
|
version=1.0
|
|||
|
|
第三步： 将签名参数（sign）使用base64解码为字节码串。
|
|||
|
|
|
|||
|
|
第四步： 使用RSA的验签方法，通过签名字符串、签名参数（经过base64解码）及支付宝公钥验证签名。
|
|||
|
|
|
|||
|
|
第五步：在步骤四验证签名正确后，必须再严格按照如下描述校验通知数据的正确性。
|
|||
|
|
|
|||
|
|
1、商户需要验证该通知数据中的out_trade_no是否为商户系统中创建的订单号，
|
|||
|
|
2、判断total_amount是否确实为该订单的实际金额（即商户订单创建时的金额），
|
|||
|
|
3、校验通知中的seller_id（或者seller_email) 是否为out_trade_no这笔单据的对应
|
|||
|
|
的操作方（有的时候，一个商户可能有多个seller_id/seller_email），
|
|||
|
|
4、验证app_id是否为该商户本身。上述1、2、3、4有任何一个验证不通过，则表明本次通知
|
|||
|
|
是异常通知，务必忽略。在上述验证通过后商户必须根据支付宝不同类型的业务通知，正确的进
|
|||
|
|
行不同的业务处理，并且过滤重复的通知结果数据。在支付宝的业务通知中，只有交易通知状态
|
|||
|
|
为TRADE_SUCCESS或TRADE_FINISHED时，支付宝才会认定为买家付款成功。
|
|||
|
|
验签过程代码描述【这里列举java示例，按照服务端SDK中提供的工具类】：
|
|||
|
|
|
|||
|
|
|
|||
|
|
Map<String, String> paramsMap = ... //将异步通知中收到的待验证所有参数都存放到map中
|
|||
|
|
boolean signVerified = AlipaySignature.rsaCheckV1(paramsMap,
|
|||
|
|
ALIPAY_PUBLIC_KEY, CHARSET) //调用SDK验证签名
|
|||
|
|
if(signVerfied){
|
|||
|
|
// TODO 验签成功后
|
|||
|
|
//按照支付结果异步通知中的描述，对支付结果中的业务内容进行1\2\3\4二次校验，
|
|||
|
|
校验成功后在response中返回success，校验失败返回failure
|
|||
|
|
}else{
|
|||
|
|
// TODO 验签失败则记录异常日志，并在response中返回failure.
|
|||
|
|
}
|
|||
|
|
注意：
|
|||
|
|
|
|||
|
|
状态TRADE_SUCCESS的通知触发条件是商户签约的产品支持退款功能的前提下，买家付款成功；
|
|||
|
|
交易状态TRADE_FINISHED的通知触发条件是商户签约的产品不支持退款功能的前提下，买
|
|||
|
|
家付款成功；或者，商户签约的产品支持退款功能的前提下，交易已经成功并且已经超过可退款期限。
|