支付宝spi接口设计验签和返回结果加签注意点,支付宝使用JSONObject对象

支付宝spi接口设计验签和返回结果加签注意点,支付宝使用JSONObject对象

SPI 三方服务接入指南
https://opendocs.alipay.com/isv/spiforisv

服务端实现 Demo
以下 Demo 是通过 Java 实现的 SPI 服务样例，包括验签 支付宝请求报文、业务逻辑处理、商家加签 以及 响应报文构造 的逻辑。
该 Demo 仅供参考，不同语言环境可根据该 Demo 的处理思路自行实现。

@RequestMapping(value  =  "/isv/spi/service")
      @ResponseBody
      public   String  spiService(@RequestParam   Map < String ,  String >  params ) {
          // http响应结果载体
          JSONObject result = new JSONObject();
          // 业务处理结果载体
          JSONObject response = new JSONObject();
          // 1、验签支付宝请求报文
          boolean   isPass = AlipaySignature.rsaCheckV1( params ,  alipayPublicKey ,  "UTF-8" ,  "RSA2" );
          if(isPass) {
              // 2、验签成功：处理业务逻辑，并构造业务处理结果
              response.put("code" ,  "10000");
              response.put("msg" ,  "Success");
              response.put("biz" ,  "value");
              JSONObject person = new JSONObject();
              person.put("age" , "18");
              person.put("height" , "180");
              response.put("person" , person);   // response中嵌套复杂类型数据结构场景
         }  else  {
              // 验签失败：构造错误码
              response.put("code" ,  "40004");
              response.put("msg" ,  "Business Failed");
              response.put("sub_code" , "ISV-VERIFICATION-FAILED");
              response.put("sub_msg" ,  "验签失败");
         }
          // 3、业务处理结果加签 （可选，查看 服务基础配置 章节）
          // contentToSign为 {"code":"10000","msg":"Success","biz":"value","person":{"age":"18","height":"180"}}
          String   contentToSign =  response.toJSONString();
          String   sign = AlipaySignature.rsaSign(contentToSign,isvPrivateKey ,"UTF-8","RSA2");
          // 4、构造http响应结果
          result.put("sign" ,  sign);
          //可选，查看 服务基础配置
          result.put("response" , response);
          // 返回json格式响应报文
          return  result.toJSONString();
     }

扩展：return result.toJSONString(); // resultJson
支付宝拿到这个返回的字符串。如何来验签呢？

//模拟接收端的方式
        JSONObject jsonObject = JSONObject.parseObject(resultJson);
        String responseJson = jsonObject.getString("response");
        String signJson = jsonObject.getString("sign");
        System.out.println("responseJson=" + responseJson);
        System.out.println("signJson=" + signJson);

        boolean isPass = AlipaySignature.rsaCheck(responseJson, signJson,pub_key, "UTF-8", "RSA2");
        System.out.println("isPass=" + isPass);

需要注意点：
1. 接口使用Map来接收 @RequestParam Map < String , String > params
// 1、验签支付宝请求报文
boolean isPass = AlipaySignature.rsaCheckV1( params , alipayPublicKey , "UTF-8" , "RSA2" );
你先验签，然后再解析，验证不用管map是啥，我们传什么你们正常验证就行。而不是使用对象或单个字段来接收，无法确保接收的数据是全部的。不然影响签名。
支付宝调用过来的：是支付宝使用支付宝私钥签名，商户端使用支付宝公钥验签。

同理：如果是商户对结果加签，是使用商户的私钥签名，支付宝接收到后使用商户的公钥来验签。

使用map获取签名的字符串方法：String content = AlipaySignature.getSignCheckContentV1(params);
//map的加签字符是可以固定顺序的。同理：json字符串固定顺序只能通过使用相同的对象（JSONObject）来转换达到字符相同。

 public static String getSignCheckContentV1(Map<String, String> params) {
        if (params == null) {
            return null;
        }

        params.remove("sign");
        params.remove("sign_type");

        StringBuilder content = new StringBuilder();
        List<String> keys = new ArrayList<String>(params.keySet());
        Collections.sort(keys);

        int index = 0;
        for (int i = 0; i < keys.size(); i++) {
            String key = keys.get(i);
            String value = params.get(key);
            if (StringUtils.areNotEmpty(key, value)) {
                content.append((index == 0 ? "" : "&") + key + "=" + value);
                index++;
            }
        }

        return content.toString();
    }

2. 验签报错，是因为从钉钉里面复制的sign是url编码后的。 而实际接口是未url编码的字符串。
spiServiceCreate occur exception : com.alipay.api.AlipayApiException: RSA2验签遭遇异常，请检查公钥格式或签名是否正确。Signature length not correct: got 267 but was expecting 256
对比看了下，这个日志里面的sign是url编码过的，而在接口请求过来的sign是没有url编码。实际在验证签名的时候，不能使用编码后的字符，如果已经编码过，需要解码。

3.验签用公钥。加签名用私钥。需要注意两端的公私钥，公钥是一致的，如果不一致，则验签不通过。

4.返回结果key参数去掉。无需返回，接口文档中是有这个。 实际会影响对方验证签名。
错误格式，不需要key，影响验签：

{
      "response" :{
          "code" : "10000" ,
          "msg" : "Success" ,
          "key" : "value"
     },
      "sign" : "xxx"
 }

正确格式：

{
      "response" :{
          "code" : "10000" ,
          "msg" : "Success" ,
          "name" : "lisi"
     },
      "sign" : "TqnBnkILs86FJWRqWWZptqIpSKLIp2vnwod177h7GLyWuLhzgRHpXgXd8GoD4flyHrHBTycQdiUjWw6VqCE5rYHrJU3iYqI1e0MLlhCb"
 

数据格式：

response JSONObject
	code String
	msg  String
	name String  业务字段
sign  String

5.机构合约编号最好用个规范字符串
最好是日期开头20240613+业务标识+业务号+随机+这种有点业务语义的

6.Gson == 转义成了 \u003d\u003d, 需要使用 fastJson,涉及到url编码的字符串尽量不使用Gson。

7.需要对比一下，json字符串里面的字段的顺序。 顺序也会影响签名。关键，比如：123，132，321是3个不同的签名字符。
JSON.toJSONString
String contentToSign = jsonObject2.toJSONString();
测试发现：上面两个转换成json字符串，实际上json字符串中的字段顺序不一致，导致签名和验签的contentToSign不一致，验签错误。
结论：支付宝验签是使用的：JSONObject方式来转的json，所以商户端也需要使用JSONObject来转json字符串。

8. response对象是JSONObject对象，而不是String json字符串。
JSONObject jsonObject = (JSONObject) JSON.toJSON(realResponse); //对象转JSONObject
//spiBaseResponseVo.setResponse(JSON.toJSONString(realResponse)); //错误

//测试代码（解决方案，使用JSONObject，同理：项目中可以使用业务VO对象，在签名获取contentToSign字符串的时候，将业务对象转换为JSONObject也可以解决。）
import com.alibaba.fastjson.JSONObject;
import com.alipay.api.internal.util.AlipaySignature;

public class AlipaySignature5Test {
    //商户私钥
    private static String prv_key =   "商户私钥";
    //商户公钥
    private static String pub_key =   "商户公钥";

    public static void main(String[] args) throws Exception{

        // http响应结果载体
        JSONObject result = new JSONObject();
        // 业务处理结果载体
        JSONObject response = new JSONObject();

        response.put("code" ,  "10000");
        response.put("msg" ,  "Success");
        response.put("inst_ser_contract_no" ,  "20240614Test123456789");
        // 3、业务处理结果加签 （可选，查看 服务基础配置 章节）
        // contentToSign为 {"code":"10000","msg":"Success","biz":"value","person":{"age":"18","height":"180"}}
        String   contentToSign =  response.toJSONString();
        System.out.println("content=" + contentToSign);
        String   sign2 = AlipaySignature.rsaSign(contentToSign,prv_key ,"UTF-8","RSA2");
        System.out.println("sign2=" + sign2);

        // 4、构造http响应结果
        result.put("sign" ,  sign2);
        //可选，查看 服务基础配置
        result.put("response" , response);
        // 返回json格式响应报文
        String resultJson =  result.toJSONString();
        System.out.println("接口返回的结果=" + resultJson);
        //直接拿resultJson验签会返回false
        //boolean isPass = AlipaySignature.rsaCheck(resultJson, sign2,pub_key, "UTF-8", "RSA2");

        //接收端的方式
        JSONObject jsonObject = JSONObject.parseObject(resultJson);
        String responseJson = jsonObject.getString("response");
        String signJson = jsonObject.getString("sign");
        System.out.println("responseJson=" + responseJson);
        System.out.println("signJson=" + signJson);

        boolean isPass = AlipaySignature.rsaCheck(responseJson, signJson,pub_key, "UTF-8", "RSA2");
        System.out.println("isPass=" + isPass);
    }
}

//测试代码（解决方案，使用JSONObject，同理：项目中可以使用业务VO对象，在签名获取contentToSign字符串的时候，将业务对象转换为JSONObject也可以解决。）
import com.alibaba.fastjson.JSONObject;
import com.alipay.api.internal.util.AlipaySignature;

public class AlipaySignature5Test {
    //商户私钥
    private static String prv_key =   "商户私钥";
    //商户公钥
    private static String pub_key =   "商户公钥";

    public static void main(String[] args) throws Exception{

        // http响应结果载体
        JSONObject result = new JSONObject();
        // 业务处理结果载体
        JSONObject response = new JSONObject();

        response.put("code" ,  "10000");
        response.put("msg" ,  "Success");
        response.put("inst_ser_contract_no" ,  "20240614Test123456789");
        // 3、业务处理结果加签 （可选，查看 服务基础配置 章节）
        // contentToSign为 {"code":"10000","msg":"Success","biz":"value","person":{"age":"18","height":"180"}}
        String   contentToSign =  response.toJSONString();
        System.out.println("content=" + contentToSign);
        String   sign2 = AlipaySignature.rsaSign(contentToSign,prv_key ,"UTF-8","RSA2");
        System.out.println("sign2=" + sign2);

        // 4、构造http响应结果
        result.put("sign" ,  sign2);
        //可选，查看 服务基础配置
        result.put("response" , response);
        // 返回json格式响应报文
        String resultJson =  result.toJSONString();
        System.out.println("接口返回的结果=" + resultJson);
        //直接拿resultJson验签会返回false
        //boolean isPass = AlipaySignature.rsaCheck(resultJson, sign2,pub_key, "UTF-8", "RSA2");

        //接收端的方式
        JSONObject jsonObject = JSONObject.parseObject(resultJson);
        String responseJson = jsonObject.getString("response");
        String signJson = jsonObject.getString("sign");
        System.out.println("responseJson=" + responseJson);
        System.out.println("signJson=" + signJson);

        boolean isPass = AlipaySignature.rsaCheck(responseJson, signJson,pub_key, "UTF-8", "RSA2");
        System.out.println("isPass=" + isPass);
    }
}