聚合支付接口文档

▍ MD5签名算法（V1.0 - 默认）

• 

  第一步

  设所有发送或者接收到的数据为集合，将集合内非空参数值的参数按照参数名从小到大排序（ASCII码字典序），使用 URL 键值对的格式（即key1=value1&key2=value2…）拼接成字符串 str 。

  
  $postDatas = array(
      "appid" => '20206491',
      "money" => '10',
      "payid" => '202305310100203715872',
      "type" => '1',
      "subject" => '购买商品',
      "notify_url" => 'http://296o.com/notify_url.php',
      "return_url" => 'http://296o.com/return_url.php'
  );
  //ksort()对数组按照键名进行升序排序
  ksort($postDatas);
  //reset()内部指针指向数组中的第一个元素
  reset($postDatas);
  $str = ASCII($postDatas);
  function ASCII($postDatas = array()){
  	$str = '';//初始化
  	foreach ($postDatas AS $key => $val) { //遍历参数数组
  		if ($val == ''||$key == 'sign'||$key == 'sign_type') continue; //跳过这些不签名
  		if ($str) $str .= '&'; //第一个字符串签名不加& 其他加&连接起来参数
  		$str .= "$key=$val"; //拼接为url参数形式
  	}
  	return $str;
  }
  

• 

  第二步

  然后在字符串 str 后面拼接上 appkey（平台商户密钥），得到 stringSignTemp 字符串，最后对stringSignTemp 进行 MD5 运算，得到 sign 值

  
  $str = "appid=20206491&money=10&notify_url=http://296o.com/notify_url.php&payid=202305310100203715872&return_url=http://296o.com/return_url.php&subject=购买商品&type=1";
  $stringSignTemp = $str.$appkey;
  $sign = md5($stringSignTemp);
  

▍ RSA签名算法（V2.0 - 强烈推荐）

RSA签名流程（双密钥模式）：
1. 商户自行生成RSA密钥对，将商户公钥配置到平台，商户私钥自己保管；
2. 从平台"基本资料"获取平台RSA公钥，用于验证异步通知签名；
3. 发起请求时，用商户私钥进行RSA签名；
4. 异步通知时，平台用平台私钥签名，商户用平台公钥验签；
5. 私钥各自保管，安全性更高。

• 

  第一步：生成商户RSA密钥对

  推荐方式：在平台"基本资料"页面点击 "生成商户RSA密钥对" 按钮，一键生成：

  • 商户私钥：弹窗展示，请立即复制保存（平台不保存，丢失无法找回）

  • 商户公钥：自动保存到平台，无需手动配置

  • 平台公钥：从平台"基本资料"复制，用于验证异步通知签名

  也可使用OpenSSL命令自行生成：

  
  # 使用OpenSSL生成商户RSA密钥对（可选）
  openssl genpkey -algorithm RSA -out merchant_private_key.pem -pkeyopt rsa_keygen_bits:2048
  openssl rsa -pubout -in merchant_private_key.pem -out merchant_public_key.pem
  

• 

  第二步：使用商户私钥签名（PHP示例）

  
  //构造待签名字符串（与MD5签名第一步相同）
  $postDatas = array(
      "appid" => '20206491',
      "money" => '10',
      "payid" => '202305310100203715872',
      "type" => '1',
      "subject" => '购买商品',
      "notify_url" => 'http://296o.com/notify_url.php',
      "return_url" => 'http://296o.com/return_url.php'
  );
  ksort($postDatas);
  reset($postDatas);
  $str = ASCII($postDatas);
  //获取商户RSA私钥（从平台基本资料页面复制）
  $privateKey = "";
  $res = openssl_get_privatekey($privateKey);
  openssl_sign($str, $sign, $res, OPENSSL_ALGO_SHA256);
  openssl_free_key($res);
  $sign = base64_encode($sign);
  //将sign和sign_type=rsa一起提交到支付接口
  $postDatas["sign"] = $sign;
  $postDatas["sign_type"] = 'rsa';
  

• 

  第三步：验证异步通知签名（PHP示例）

  异步通知时，平台使用平台私钥签名，商户用平台公钥验签：

  
  //获取平台RSA公钥（从平台基本资料页面复制）
  $platformPublicKey = "";
  
  //接收异步通知参数
  $postDatas = $_POST;
  ksort($postDatas);
  reset($postDatas);
  $str = ASCII($postDatas);
  $sign = base64_decode($_POST['sign']);
  
  //使用平台RSA公钥验证签名
  $res = openssl_get_publickey($platformPublicKey);
  $verifyResult = openssl_verify($str, $sign, $res, OPENSSL_ALGO_SHA256);
  openssl_free_key($res);
  
  if($verifyResult === 1 && !empty($_POST['pay_no'])){
      //签名验证通过，处理业务逻辑
      exit('success');
  }else{
      exit('fail');
  }
  

支付回调通知

通知返回的参数示例如下：

MD5签名（V1.0）通知示例：

pay_id=admin&pay_money=100.00&pay_no=20200217200042408995&pay_time=1487597795&pay_type=1&sign=c47f3cba123456b6b24542110a8928af

RSA签名（V2.0）通知示例：

pay_id=admin&pay_money=100.00&pay_no=20200217200042408995&pay_time=1487597795&pay_type=1&sign_type=rsa&sign=e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855...

1、业务处理完成返回：ok 或者 success

2、业务处理失败还需要下次继续通知返回：fail

3、注意：一定要验证是否有pay_no参数值，因为只有该值存在，才是付款成功 。

• 

  notify_url异步通知示例（Thinkphp）：

  
  //签名类型：md5（V1.0）或 rsa（V2.0）
  $sign_type="md5";
  //平台商户密钥（使用MD5签名时需要，V1.0版本）
  $appkey="";
  //平台RSA公钥（使用RSA签名时需要，V2.0版本）
  $platformPublicKey = "";
  
  if (empty($_POST)) $_POST = $_GET; //如果为GET方式访问 
  //ksort()对数组按照键名进行升序排序 
  ksort($_POST); 
  //reset()内部指针指向数组中的第一个元素 
  reset($_POST); 
  $sign = '';//初始化 
  foreach ($_POST AS $key => $val) { //遍历POST参数 
  if ($val == ''||$key == 'sign'||$key == 'sign_type') continue; //跳过这些不签名 
  if ($sign) $sign .= '&'; //第一个字符串签名不加& 其他加&连接起来参数 
  $sign .= "$key=$val"; //拼接为url参数形式 
  } 
  $pay_id = $_POST['pay_id']; //需要充值的ID 或订单号 或用户名 
  $pay_money = (float)$_POST['pay_money']; //实际付款金额
  $pay_no = $_POST['pay_no']; //交易流水号 
  $pay_time = $_POST['pay_time']; //付款的时间戳 
  $pay_type = (int)$_POST['pay_type']; //支付方式 1:支付宝 2:微信支付 3:QQ钱包 
  $param = isset($_POST['param'])?$_POST['param']:'';//自定义参数 
  
  //验证签名（根据sign_type选择验证方式）
  $signValid = false;
  if(strtolower($sign_type) == 'rsa'){
      //RSA签名验证（V2.0）
      $res = openssl_get_publickey($platformPublicKey);
      $signValid = openssl_verify($sign, base64_decode($_POST['sign']), $res, OPENSSL_ALGO_SHA256) === 1;
      openssl_free_key($res);
  }else{
      //MD5签名验证（V1.0）
      $signValid = (md5($sign . $appkey) == $_POST['sign']);
  }
  
  if (!$_POST['pay_no'] || !$signValid) { //不合法的数据 
  exit('fail'); //返回失败 继续补单 
  } else { //合法的数据 
  /** 
  * 业务处理在这里写 
  */ 
  exit('success'); //返回成功，业务处理完成，下面不再执行了
   } 
  

• 

  return_url同步跳转示例（Thinkphp）：

  
  //签名类型：md5（V1.0）或 rsa（V2.0）
  $sign_type="md5";
  //平台商户密钥（使用MD5签名时需要，V1.0版本）
  $appkey="";
  //平台RSA公钥（使用RSA签名时需要，V2.0版本）
  $platformPublicKey = "";
  
  if (empty($_POST)) $_POST = $_GET; //如果为GET方式访问 
  //ksort()对数组按照键名进行升序排序 
  ksort($_POST); 
  //reset()内部指针指向数组中的第一个元素 
  reset($_POST); 
  $sign = '';//初始化 
  foreach ($_POST AS $key => $val) { //遍历POST参数 
  if ($val == ''||$key == 'sign'||$key == 'sign_type') continue; //跳过这些不签名 
  if ($sign) $sign .= '&'; //第一个字符串签名不加& 其他加&连接起来参数 
  $sign .= "$key=$val"; //拼接为url参数形式 
  } 
  $pay_id = $_POST['pay_id']; //需要充值的ID 或订单号 或用户名 
  $pay_money = (float)$_POST['pay_money']; //实际付款金额 
  $pay_no = $_POST['pay_no']; //交易流水号 
  $pay_time = $_POST['pay_time']; //付款的时间戳 
  $pay_type = (int)$_POST['pay_type']; //支付方式 1:支付宝 2:微信支付 3:QQ钱包
  $param = isset($_POST['param'])?$_POST['param']:'';//自定义参数 
  
  //验证签名（根据sign_type选择验证方式）
  $signValid = false;
  if(strtolower($sign_type) == 'rsa'){
      $res = openssl_get_publickey($platformPublicKey);
      $signValid = openssl_verify($sign, base64_decode($_POST['sign']), $res, OPENSSL_ALGO_SHA256) === 1;
      openssl_free_key($res);
  }else{
      $signValid = (md5($sign . $appkey) == $_POST['sign']);
  }
  
  if (!$_POST['pay_no'] || !$signValid) { //不合法的数据 
  $result = '支付失败';
  } else { //合法的数据 
  /** 
  * 业务处理在这里写 
  */ 
  $result = '支付成功'; 
  } 
  $this->assign('pay_id',$pay_id);
  $this->assign('pay_no',$pay_no);
  $this->assign('pay_money',$pay_money);
  $this->assign('pay_type',$pay_type);
  $this->assign('pay_time',date("Y-m-d H:i:s",$pay_time));
  $this->assign('param',$param);
  $this->assign('result',$result);
  return view();
  

订单查询接口

SDK接口示例