支付宝支付加密规则梳理,写的太好了!
作者:叁滴水
博客:https://blog.csdn.net/qq_30285985/
前言
支付是一个安全等级很高的场景,系统间交互的每一条数据的泄露都有可能造成及其大的损失。因此支付时系统间交互的每一条数据都会采取加密措施。
这里梳理一下支付宝支付时用到的加密规则,请大家参考。
一、什么是签名?
在了解签名前,先回顾一下支付的交互流程。如上图所示,支付的过程中可以大概分为6个步骤。
用户选择自己的商品提交订单。
商家服务器将商品信息和所需要的金额发给支付宝,生成支付宝订单。
支付宝订单返回成功之后生成一个支付页面,方便手机支付或者网页支付。
手机调起支付宝app进行支付。
输入支付密码发送给支付宝服务器。
支付宝服务器转账成功,告知商家服务器某个订单的金额转账成功。
这6个步骤中,最为重要的是步骤2和步骤6。拆解如下。
商家服务器和支付宝服务器交互的过程中传输的信息异常敏感,所以,在交互时必须防止中间人对于信息的篡改。例如步骤2将商品的金额改为0,支付宝就误认为是转账0元。
数字签名解决了交互时这一安全问题。它可以验证一条消息或者文档的真实性。在支付宝支付的接口中,有一个sign
参数用来填写签名。这个签名作用是为了防止信息伪造。通过这种方式可以有效的防止消息在传递过程中被篡改。
二、签名实现原理
2.1 签名原理
数字签名是一个信息安全的保障,它的实现依赖于双方系统的密钥。
签名过程如下:
计算希望签名的文档的散列。不论输入文档的长度如何,输出长度总是固定的。比如,使用SHA256就是256位。
对结果散列和一些额外的元数据进行编码。比如,接收方需要知道你使用的散列算法,否则不能处理签名。
使用私钥加密编码过的数据,其结果就是签名,可以追加到文档中作为身份验证的依据。
验证签名(验签):
接收方接收文档并使用相同的散列算法独立计算文档散列。
接着,她使用公钥对消息进行解密,将散列解码出来,再确认使用的散列算法是否正确,解密出的散列是否与本地计算的相同。
2.2 非对称加密
支付宝采用RSA非对称加密对信息进行签名。
非对称加密是由一个公钥和一个私钥组成,一般代码中命名为public key
和private key
。非对称加密的特点是:私钥加密的信息只有公钥才能解密,公钥加密的信息只能有私钥才能解密。
一般会将私钥进行保留,开发时一般会放在配置文件中,安全级别和数据库账号密码一样。公钥会交给其它系统,这样系统间交互时中间人不知道密钥的情况下,是无法破解交互的信息的。发送方只要保证私钥不泄露,任何人发送给接收方的信息在签名验证时都无法匹配成功。
支付宝的实现签名的方式也大致如此,支付宝在信息交互的时候两个很重要的名词支付宝公钥
和应用公钥
,这两个秘钥总是让人混淆。这是因为支付宝提供了两套RSA加密。一套是用来保证步骤2
统一下单接口时的信息安全,另一套是用来保证步骤6
回调时的信息安全。
推荐阅读:最新 Java 核心技术教程,都在这了!
如下图,步骤2商户服务器通过红色应用私钥(priv key 2
)计算签名,支付宝通过红色应用公钥(pub key 2
)进行验签;步骤6支付宝服务器通过蓝色支付宝私钥(priv key 6
)计算签名,商家通过蓝色支付宝公钥(pub key 6
)验证签名。
了解了签名计算原理之后,再去管理平台设置app信息的时候就游刃有余了,我以沙箱环境为例子。
如上图,说明使用RSA2
加密方式,HASH
算法采用SHA256
。进入设置之后要设置应用公钥
和保存支付宝公钥
。
应用公钥和应用私钥 这两个需要自己生成一对,保证步骤2的安全。生成方式跳转支付宝开放平台开发助手
支付宝公钥和支付宝私钥是支付宝提供的,私钥支付宝自己保留的,和自己服务器的应用私钥一样,人家不会提供出来。公钥复制下来用于在回调时进行签名的认证。
三、对称加密
签名虽然可以防止中间人的信息篡改,但是无法防止中间人信息查看。比如步骤2中,向支付宝发送的商品金额,中间人即可获取每天中该商家交易的金额。信息在网络中传输感觉是一个虚无缥缈的过程,网络中信息有可能被不法分子进行拦截。
因此在支付的过程中,会推荐使用https
协议进行交互,使得交互的信息加密传输。而且,支付宝的很多接口还支持使用AES
加密之后进行传输,使得信息更加安全。
推荐阅读:最新 Java 核心技术教程,都在这了!
AES加密是一种对称加密算法,对称加密算法相对于非对称加密要简单一点。系统间只存在一个密钥,这个密钥可以用来加密也可以用来解密。
在与支付宝交互的信息可以通过AES加密。防止信息的泄露,官方对接口的解释如下:
若 OpenAPI 无 bizContent 传参则无法使用 AES 密钥加密,否则会报错 当前 API 不支持加密请求。例如:alipay.user.info.share(支付宝会员授权信息查询接口)未使用 bizContent 传参则无法使用 AES 密钥加密。
四、AES和RSA关系
AES 密钥是对接口请求和响应内容进行加密,密文无法被第三方识别,从而防止接口传输数据泄露。
RSA 密钥是对接口请求和响应内容进行签名,开发者和支付宝开放平台分别加签验签,以确认接口传输的内容没有被篡改。不论接口内容是明文还是密文,RSA 均可正常签名。
开发者可对请求参数先做 AES 加密,然后对密文进行 RSA 签名。
读到这里了,如果对你有帮助就留个赞吧。
- END -
最近热文• 一个月薪 12000 的北京程序员的真实生活 !• 8年开发,连登陆接口都写这么烂...• 国产Linux发行版再添一员,操作界面不输苹果!• IntelliJ IDEA 2020.2.4款 神级超级牛逼插件推荐• 重磅!阿里推出国产开源的jdk!
支付宝支付加密规则梳理,写的太好了!相关推荐
- 安卓-Android如何集成支付宝支付(集成阿里支付)详解。Android接入alipay支付
支付宝支付官网地址: 打开官网 服务器端如何拼接Orderinfo所需参数请看这篇文章.打开链接 安卓app集成阿里支付流程: 步骤一:下载aar和demo,并将aar添加到安卓项目依赖里.点击查看如 ...
- 用HTML写一个扫描二维码支付宝支付后点击按钮就显示支付成功并自动跳转到CSDN...
这是一个支付宝扫码支付并自动跳转到 CSDN 的 HTML 代码: <html> <head><title>支付宝扫码支付</title> </h ...
- 太可怕了,支付宝支付居然被利用了
你的APP有用到支付宝支付吗?有没有遇到过支付链接被不法分子利用呢?本文主要分享了一次支付宝APP支付链接被不法分子利用的经历. 一.背景 某日,经客服反馈,有部分用户在某APP上购买商品,最终发现被 ...
- java版+支付宝支付和微信支付(一)
最近公司在做支付模块,在接入过程中遇到了很多坑,费了不少事,现在分享一下接入方法,也记录一下,以后可能还用的到.用的是支付宝的即时到帐支付功能和微信的扫码支付功能,相比起来,个人感觉支付宝的文档和接入 ...
- 腾腾流氓,云云更流氓(问微信怎样接入支付宝支付),手贱的赶紧点,你会感谢我的...
草原上的两匹马! 打从当年微信开始布局公众号之初时,估计就已经想到了与支付宝正面冲突的场面,所以微信先来个瞒天过海,在春晚搞了个微信红包,那叫一个火呀,此时的云云隐隐感觉到些许不安. 早期的微信开发者 ...
- java后台实现支付宝支付接口、支付宝订单查询接口 前端为APP
最近项目APP需要接入微信.支付宝支付功能,在分配开发任务时,听说微信支付接口比支付宝支付接口要难实现,由于我开发经验不是那么丰富(现工作经验1年半)且未接触过支付接口开发,组里刚好又有支付接口的老司 ...
- 微信支付与支付宝支付
花了几天的时间将支付宝与微信支付都弄完了,中间遇到了不少坑.尤其是在微信支付的时候,于是决定写2遍博客给大家介绍一下. 1.支付宝支付 基本配置文件 服务器加签文档 官方demo <一>基 ...
- 基于python-django框架的支付宝支付案例
目录 @ 一. 开发前的准备 1. 必须了解的知识 SDK:软件开发工具包,可以为开发者提供快速开发的工具 沙箱环境:也就是测试环境 支付宝支付金额的精度:小数点后两位(面试) 支付宝用的什么加密方式 ...
- iOS开发支付宝支付
iOS支付宝支付(Alipay)详细接入流程以及项目中遇到的问题分析 浏览: 149 发布日期: 2016-10-19 分类: ios 最近在项目中接入了微信支付和支付宝支付,总的来说没有那么坑, ...
- h5支付不能打开支付宝 ios_iOS支付宝支付(Alipay)详细接入流程以及项目中遇到的问题分析...
最近在项目中接入了微信支付和支付宝支付,总的来说没有那么坑,很多人都说文档不全什么的,确实没有面面 俱到,但是认真一步一步测试下还是妥妥的,再配合懂得后台,效率也是很高的,看了这篇文章,你也只要几分钟 ...
最新文章
- 如何使用HTML5 Canvas元素来裁剪图像
- cisco 系列时间修改
- [20160307]绑定变量的分配长度3.txt
- datagridview实时更新数据_旭诺云盒|智能办公新趋势进出口数据自动提取,通关状态实时更新...
- android ImageView 之 android:scaleTye=
- Linux install innotop
- 写一函数,使输入的一个字符串按反序存放,在主函数中输入输出反序后的字符串。
- Expression Blend4 中文
- CoreJavaE10V1P3.10 第3章 Java的基本编程结构-3.10 数组(Arrays)
- python爬虫代码示例视频教学-清华学霸尹成Python爬虫教学视频
- 常用加密算法--对称加密算法
- 钽电容和贴片电容的区别
- 微信语音技术原理_语音控制智能家居系统的实现过程和技术详解
- 自有项目Iframe嵌入ThingJS物联网可视化项目代码解析
- Zotero取消英文语法检查
- android 倒水动画,Android 模拟圆形水杯倒水的效果
- 建立手机平台的产品线
- 《SolidCAM+SolidWorks 2014中文版数控加工从入门到精通》——第1章 SolidCAM基础 1.1 CAD/CAM基础...
- iscsi没有可用于使用快速连接登陆的目标_【解密】5G商用在即 OPPO快速网络切换方法;高管宣布华为河图商标注册成功;小米折叠屏专利曝光 类似于摩托罗拉Razr...
- MySQL中的 utf8 并不是真正的UTF-8编码 ! !
热门文章
- python如何筛选数据_Python如何用filter函数筛选数据
- linux服务器运维工程师怎么样,怎样才算合格的运维工程师?linux运维技术
- CCS 2021 | 自动化网络流量分析新方向
- 计算机毕业论文外文译文,计算机毕业论文外文文献译文
- 魅族16Xs发布时间或今日公布:后置4800万像素竖排三摄
- node连接数据库_数据库2
- LabWindows/CVI学习总结——前言
- [数据可视化] 南丁格尔玫瑰图
- Typescript无法导入json的问题
- python调用微信客户端_Python微信企业号开发之回调模式接收微信端客户端发送消息及被动返回消息示例...