支付寶支付流程

支付寶支付流程

 

支付寶給的流程圖仍是很清晰的，其實基本流程就是

1. 用戶向服務器請求一個付款
2. 服務器生成一個帶簽名的訂單發送給客戶端
3. 客戶端經過這個訂單向app sdk請求付款
4. sdk把用戶引入支付寶付款界面進行支付
5. 支付成功後支付寶向前端返回支付成功結果，而且向服務器發送一個支付通知
6. 服務器接收通知而且驗證是不是支付寶發送的成功結果

app客戶端須要作的很簡單：

1. 向本身的服務器請求一個訂單，
2. 接收到訂單後，向支付寶sdk發情一個支付請求
3. 交易結束後返回一個成功或者失敗

服務器作的事情稍微多一點（注意：服務端須要存放應用的私鑰進行簽名，還有支付寶的公鑰進行驗籤）：

1. 接收到客戶端請求時候，生成一個帶簽名訂單返回給客戶端，中間的步奏有
   1. 把相應的配置數據生成一個數組，再把數組的數據生成一個有序的字符串

      //將支付寶發來的數據生成有序數列 function getVerifyParams(params) { var sPara = []; if(!params) return null; for(var key in params) { if((!params[key]) || key == "sign" || key == "sign_type") { continue; }; sPara.push([key, params[key]]); } sPara = sPara.sort(); var prestr = ''; for(var i2 = 0; i2 < sPara.length; i2++) { var obj = sPara[i2]; if(i2 == sPara.length - 1) { prestr = prestr + obj[0] + '=' + obj[1] + ''; } else { prestr = prestr + obj[0] + '=' + obj[1] + '&'; } } return prestr; }

      View Code

       

   2. 將這組支付串進行RSA-SHA1算法，獲得的結果再與存在服務端的私鑰進行簽名

      //驗籤 function veriySign(params) { try { var publicPem = fs.readFileSync('./rsa_public_key.pem'); var publicKey = publicPem.toString(); var prestr = getVerifyParams(params); var sign = params['sign'] ? params['sign'] : ""; var verify = crypto.createVerify('RSA-SHA1'); verify.update(prestr); return verify.verify(publicKey, sign, 'base64') } catch(err) { console.log('veriSign err', err) } }

      View Code

       

   3. 有序的字符串+獲得的簽名+簽名方法就是生成的訂單，將這組訂單返回給客戶端

      //發送訂單號 sendAlipay: function(req, res) { var code = "" for(var i = 0; i < 4; i++) { code += Math.floor(Math.random() * 10); } //訂單號暫時由時間戳與四位隨機碼生成 AlipayConfig.out_trade_no = Date.now().toString() + code; var myParam = getParams(AlipayConfig); var mySign = getSign(AlipayConfig) var last = myParam + '&sign="' + mySign + '"&sign_type="RSA"'; console.log(last) return res.send(last) }

      View Code

       

2. 前半段的工做就作完了，接下來若是前端支付成功，支付寶會向咱們預留好的回調接口發送一個POST請求，讓咱們驗證用戶是否支付成功

   1. 將支付寶發送過來的數據生成一個有序的字符串

      //將支付寶發來的數據生成有序數列 function getVerifyParams(params) { var sPara = []; if(!params) return null; for(var key in params) { if((!params[key]) || key == "sign" || key == "sign_type") { continue; }; sPara.push([key, params[key]]); } sPara = sPara.sort(); var prestr = ''; for(var i2 = 0; i2 < sPara.length; i2++) { var obj = sPara[i2]; if(i2 == sPara.length - 1) { prestr = prestr + obj[0] + '=' + obj[1] + ''; } else { prestr = prestr + obj[0] + '=' + obj[1] + '&'; } } return prestr; }

      View Code

       

   2. 將獲取的數據進行hash而後根據公鑰進行對簽名的有效應驗證，返回true和false

      //驗籤 function veriySign(params) { try { var publicPem = fs.readFileSync('./rsa_public_key.pem'); var publicKey = publicPem.toString(); var prestr = getVerifyParams(params); var sign = params['sign'] ? params['sign'] : ""; var verify = crypto.createVerify('RSA-SHA1'); verify.update(prestr); return verify.verify(publicKey, sign, 'base64') } catch(err) { console.log('veriSign err', err) } }

      View Code

       

   3. 若是驗籤成功再生成支付寶通知url，來驗證是不是支付寶發來的通知（支付寶的驗證一大堆，腦袋都痛了），若是有數據則說明確實是支付寶發來的通知，此次交易有效

      //回調驗籤 getAlipay: function(req, res) { console.log(req.body) var params = req.body var mysign = veriySign(params); //驗證支付寶簽名mysign爲true表示簽名正確  console.log(mysign) try { //驗籤成功 if(mysign) { if(params['notify_id']) { var partner = AlipayConfig.partner; //生成驗證支付寶通知的url var url = 'https://mapi.alipay.com/gateway.do?service=notify_verify&' + 'partner=' + partner + '&notify_id=' + params['notify_id']; console.log('url:' + url) //驗證是不是支付寶發來的通知 https.get(url, function(text) { //有數據表示是由支付寶發來的通知 if(text) { //交易成功 console.log('success') } else { //交易失敗 console.log('err') } }) } } } catch(err) { console.log(err); } }

      View Code

       

 這樣整個流程就跑完了，代碼原博客都有，這裏最多隻是有些改爲了sails的寫法，主要寫一下此次遇到的幾個坑和值得注意的幾個地方

1. 因爲移動支付的文檔描述不清楚，私鑰其實上上傳到帳戶信息的mapi網管產品密鑰裏：而不是上傳到應用的密鑰裏

2. 移動支付只支持RSA(SHA1）

3.  ./是在sails裏獲取的到根目錄下的密鑰（有點搞不懂sails的這個路徑）

4.  生成訂單時候的有序字符串格式是body="測試" ,有雙引號，可是驗籤生成的有序字符串裏不能有雙引號