支付宝支付加密规则梳理，写的太好了！

朴灿烈づ我的快乐病毒、 2022-09-12 02:58 242阅读 0赞

![046832c1513f38c7a3bf025690076c9d.png][]

作者：叁滴水

博客：https://blog.csdn.net/qq\_30285985/

## 前言 ##

支付是一个安全等级很高的场景，系统间交互的每一条数据的泄露都有可能造成及其大的损失。因此支付时系统间交互的每一条数据都会采取加密措施。

这里梳理一下支付宝支付时用到的加密规则，请大家参考。

## 一、什么是签名？ ##

![a7f6deecdc9c1753aef136bf999eb1ef.png][]在了解签名前，先回顾一下支付的交互流程。如上图所示，支付的过程中可以大概分为6个步骤。

1.  [用户选择自己的商品提交订单。][Link 1]
2.  [商家服务器将商品信息和所需要的金额发给支付宝，生成支付宝订单。][Link 1]
3.  [支付宝订单返回成功之后生成一个支付页面，方便手机支付或者网页支付。][Link 1]
4.  [手机调起支付宝app进行支付。][Link 1]
5.  [输入支付密码发送给支付宝服务器。][Link 1]
6.  [支付宝服务器转账成功，告知商家服务器某个订单的金额转账成功。][Link 1]

这6个步骤中，**最为重要的是步骤2和步骤6**。拆解如下。

![2496958baa51edde9009cd7d0002d67e.png][]

商家服务器和支付宝服务器交互的过程中传输的信息异常敏感，所以，在交互时必须防止中间人对于信息的篡改。例如步骤2将商品的金额改为0，支付宝就误认为是转账0元。

数字签名解决了交互时这一安全问题。它可以验证一条消息或者文档的真实性。在支付宝支付的接口中，有一个`sign`参数用来填写签名。这个签名作用是为了**防止信息伪造**。通过这种方式可以有效的防止消息在传递过程中被篡改。

## 二、签名实现原理 ##

#### 2.1 签名原理 ####

数字签名是一个信息安全的保障，它的实现依赖于双方系统的**密钥**。

**签名过程如下：**

1.  [计算希望签名的文档的散列。不论输入文档的长度如何，输出长度总是固定的。比如，使用SHA256就是256位。][SHA256_256]
2.  [对结果散列和一些额外的元数据进行编码。比如，接收方需要知道你使用的散列算法，否则不能处理签名。][SHA256_256]
3.  [使用私钥加密编码过的数据，其结果就是签名，可以追加到文档中作为身份验证的依据。][SHA256_256]

![d2c3b701a0e3b23e4f9a6adb021eb130.png][]

**验证签名（验签）：**

接收方接收文档并使用相同的散列算法独立计算文档散列。

接着，她使用公钥对消息进行解密，将散列解码出来，再确认使用的散列算法是否正确，解密出的散列是否与本地计算的相同。

![6555a97d0f139cad740130d3c292b607.png][]

#### 2.2 非对称加密 ####

**支付宝采用RSA非对称加密对信息进行签名**。

非对称加密是由一个公钥和一个私钥组成，一般代码中命名为`public key`和`private key`。非对称加密的特点是：私钥加密的信息只有公钥才能解密，公钥加密的信息只能有私钥才能解密。

[一般会将私钥进行保留，开发时一般会放在配置文件中，安全级别和数据库账号密码一样。公钥会交给其它系统，这样系统间交互时中间人不知道密钥的情况下，是无法破解交互的信息的。发送方只要保证私钥不泄露，任何人发送给接收方的信息在签名验证时都无法匹配成功。][Link 1]

支付宝的实现签名的方式也大致如此，支付宝在信息交互的时候两个很重要的名词`支付宝公钥`和`应用公钥`，这两个秘钥总是让人混淆。这是因为支付宝提供了两套RSA加密。一套是用来保证`步骤2`统一下单接口时的信息安全，另一套是用来保证`步骤6`回调时的信息安全。

推荐阅读：[最新 Java 核心技术教程，都在这了！][Java]

如下图，步骤2商户服务器通过红色应用私钥(`priv key 2`)计算签名，支付宝通过红色应用公钥(`pub key 2`)进行验签；步骤6支付宝服务器通过蓝色支付宝私钥(`priv key 6`)计算签名，商家通过蓝色支付宝公钥(`pub key 6`)验证签名。

![dbb3ffd49b10452b360dc35382a9989e.png][]

了解了签名计算原理之后，再去管理平台设置app信息的时候就游刃有余了，我以沙箱环境为例子。

![b52996e37e02e857e8d647a3c65f5f79.png][]

如上图，说明使用`RSA2`加密方式，`HASH`算法采用`SHA256`。进入设置之后要设置`应用公钥`和保存`支付宝公钥`。

*  **应用公钥和应用私钥** 这两个需要自己生成一对，保证**步骤2**的安全。生成方式跳转支付宝开放平台开发助手
 *  **支付宝公钥和支付宝私钥**是支付宝提供的，私钥支付宝自己保留的，和自己服务器的应用私钥一样，人家不会提供出来。公钥复制下来用于在回调时进行签名的认证。

![e91b149492fbfde34fad4cf5f8118bee.png][]

## 三、对称加密 ##

签名虽然可以防止中间人的信息篡改，但是**无法防止中间人信息查看**。比如**步骤2**中，向支付宝发送的商品金额，中间人即可获取每天中该商家交易的金额。信息在网络中传输感觉是一个虚无缥缈的过程，网络中信息有可能被不法分子进行拦截。

![2e8abbde54cf4cbc70edb8feeafd45fa.png][]

因此在支付的过程中，会推荐使用`https`协议进行交互，使得交互的信息加密传输。而且，支付宝的很多接口还支持使用`AES`加密之后进行传输，使得信息更加安全。

推荐阅读：[最新 Java 核心技术教程，都在这了！][Java]

AES加密是一种对称加密算法，对称加密算法相对于非对称加密要简单一点。系统间只存在一个密钥，这个密钥可以用来加密也可以用来解密。

![65dcd9bd0c0cb5322b3e36287193146d.png][]

在与支付宝交互的信息可以通过AES加密。防止信息的泄露，官方对接口的解释如下：

> [若 OpenAPI 无 bizContent 传参则无法使用 AES 密钥加密，否则会报错 当前 API 不支持加密请求。例如：alipay.user.info.share(支付宝会员授权信息查询接口)未使用 bizContent 传参则无法使用 AES 密钥加密。][OpenAPI _ bizContent _ AES _ _ API _alipay.user.info.share_ bizContent _ AES]

## 四、AES和RSA关系 ##

![39710274fd718d2edba87b69aed3c4c4.png][]

*  AES 密钥是对接口请求和响应内容进行加密，密文无法被第三方识别，从而防止接口传输数据泄露。
 *  RSA 密钥是对接口请求和响应内容进行签名，开发者和支付宝开放平台分别加签验签，以确认接口传输的内容没有被篡改。不论接口内容是明文还是密文，RSA 均可正常签名。
 *  开发者可对请求参数先做 AES 加密，然后对密文进行 RSA 签名。

读到这里了，如果对你有帮助就留个赞吧。

\- END -

最近热文•  一个月薪 12000 的北京程序员的真实生活 ！•  8年开发，连登陆接口都写这么烂...•  国产Linux发行版再添一员，操作界面不输苹果！•  IntelliJ IDEA 2020.2.4款 神级超级牛逼插件推荐•  重磅！阿里推出国产开源的jdk！

[046832c1513f38c7a3bf025690076c9d.png]: /images/20220828/02cd37e341a54160902ac84ac901cfbd.png
[a7f6deecdc9c1753aef136bf999eb1ef.png]: /images/20220828/196906da3a87465ba72cf0dd5c193da4.png
[Link 1]: http://mp.weixin.qq.com/s?__biz=MzI3ODcxMzQzMw==&mid=2247517642&idx=2&sn=258dd06dbb03db2ee49fa0ee40394d35&chksm=eb5000fcdc2789ea55afe3a9ffe54659e1b6a8cfb3f491ced82140a5c963cc0eb03788a9543f&scene=21#wechat_redirect
[2496958baa51edde9009cd7d0002d67e.png]: /images/20220828/c7b116a2be00438d97d240763a98554f.png
[SHA256_256]: http://mp.weixin.qq.com/s?__biz=MzI3ODcxMzQzMw==&mid=2247519294&idx=2&sn=c4ad9ae745568439d7070a175f20c3ef&chksm=eb500908dc27801ead52ebf17490aaa5d1d983e2dfc536b4273f77cbd6c2c1cc9bd9a9bc0685&scene=21#wechat_redirect
[d2c3b701a0e3b23e4f9a6adb021eb130.png]: /images/20220828/5f8b3964a2484655ac501cea0d943ce5.png
[6555a97d0f139cad740130d3c292b607.png]: /images/20220828/7ee45afcad194f988bd592f4123b6ef5.png
[Java]: https://blog.csdn.net/youanyyou/article/details/99912305
[dbb3ffd49b10452b360dc35382a9989e.png]: /images/20220828/46ea3ee57dcb4c72b9215207ec94c841.png
[b52996e37e02e857e8d647a3c65f5f79.png]: /images/20220828/7e3b37260933460fac76464a7de585f4.png
[e91b149492fbfde34fad4cf5f8118bee.png]: /images/20220828/fce698b81fd14f32b249beb87c0a0c38.png
[2e8abbde54cf4cbc70edb8feeafd45fa.png]: /images/20220828/6b21413d5fc443bbb5fa9552fa912d1f.png
[65dcd9bd0c0cb5322b3e36287193146d.png]: /images/20220828/4077a41ce8854535b0ec553aff871f7e.png
[OpenAPI _ bizContent _ AES _ _ API _alipay.user.info.share_ bizContent _ AES]: http://mp.weixin.qq.com/s?__biz=MzI3ODcxMzQzMw==&mid=2247492561&idx=2&sn=fc337cad12cc5fb0bb02036a33f72d39&chksm=eb5066e7dc27eff19afcf0ea6215b3e911b22b2d512ef3b750e298e7eaaae04586b5d111137b&scene=21#wechat_redirect
[39710274fd718d2edba87b69aed3c4c4.png]: /images/20220828/d156c66671d14fd9ae76f8a372da8204.png