Java中的微信支付（1）：API V3版本签名详解

news/2025/3/12 14:37:15/文章来源:https://www.cnblogs.com/ralphlauren/p/18621234

Java中的微信支付（1）：API V3版本签名详解| Id | Title | DateAdded | SourceUrl | PostType | Body | BlogId | Description | DateUpdated | IsMarkdown | EntryName | CreatedTime | IsActive | AutoDesc | AccessPermission |

| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------| -------------|
| 14765646| Java中的微信支付（1）：API V3版本签名详解| 2021-05-13T18:02:00| | BlogPost|

1. 前言

最近在折腾微信支付，证书还是比较烦人的，所以有必要分享一些经验，减少你在开发微信支付时的踩坑。目前微信支付的API已经发展到V3版本，采用了流行的Restful风格。

微信支付V2与V3的区别

今天来分享微信支付的难点——签名，虽然有很多好用的SDK但是如果你想深入了解微信支付还是需要了解一下的。

2. API证书

为了保证资金敏感数据的安全性，确保我们业务中的资金往来交易万无一失。目前微信支付第三方签发的权威的CA证书(API证书)中提供的私钥来进行签名。通过商户平台你可以设置并获取API证书。

API证书

切记在第一次设置的时候会提示下载，后面就不再提供下载了，具体参考说明。

API证书说明

设置后找到zip压缩包解压，里面有很多文件，对于JAVA开发来说只需要关注apiclient_cert.p12这个证书文件就行了，它包含了公私钥，我们需要把它放在服务端并利用Java解析.p12文件获取公钥私钥。

务必保证证书在服务器端的安全，它涉及到资金安全。

解析API证书

接下来就是证书的解析了，证书的解析有网上很多方法，这里我使用比较“正规”的方法来解析，利用JDK安全包的java.security.KeyStore来解析。

微信支付API证书使用了PKCS12算法，我们通过KeyStore来获取公私钥对的载体KeyPair以及证书序列号serialNumber，我封装了工具类：

import org.springframework.core.io.ClassPathResource;

import java.security.KeyPair;

import java.security.KeyStore;

import java.security.PrivateKey;

import java.security.PublicKey;

import java.security.cert.X509Certificate;


/**


    

  • 

    KeyPairFactory
    

    • 

  • 

  • 

    @author dax
    

    • 

  • 

    @since 13:41
    
**/
    
public class KeyPairFactory {
    

    private KeyStore store;
    

    private final Object lock = new Object();
    

    /**
    

      

    • 

      获取公私钥.
      

      • 

    • 

    • 

      @param keyPath  the key path
      

      • 

    • 

      @param keyAlias the key alias
      

      • 

    • 

      @param keyPass  password
      

      • 

    • 

      @return the key pair
      
*/
      
public KeyPair createPKCS12(String keyPath, String keyAlias, String keyPass) {
      
ClassPathResource resource = new ClassPathResource(keyPath);
      
char[] pem = keyPass.toCharArray();
      
try {
      
synchronized (lock) {
      
if (store == null) {
      
synchronized (lock) {
      
store = KeyStore.getInstance("PKCS12");
      
store.load(resource.getInputStream(), pem);
      
}
      
}
      
}
      
X509Certificate certificate = (X509Certificate) store.getCertificate(keyAlias);
      
certificate.checkValidity();
      
// 证书的序列号 也有用
      
String serialNumber = certificate.getSerialNumber().toString(16).toUpperCase();
      
// 证书的 公钥
      
PublicKey publicKey = certificate.getPublicKey();
      
// 证书的私钥
      
PrivateKey storeKey = (PrivateKey) store.getKey(keyAlias, pem);
      

       <span class="hljs-keyword">return <span class="hljs-keyword">new KeyPair(publicKey, storeKey);

      

      } catch (Exception e) {
      
throw new IllegalStateException("Cannot load keys from store: " + resource, e);
      
}
      
}
      
}

眼熟的可以看出是胖哥Spring Security教程中JWT用的公私钥提取方法的修改版本，你可以对比下不同之处。

这个方法中有三个参数，这里必须要说明一下：

  • keyPath API证书apiclient_cert.p12的classpath路径,一般我们会放在resources路径下，当然你可以修改获取证书输入流的方式。
  • keyAlias 证书的别名，这个微信的文档是没有的，胖哥通过加载证书时进行DEBUG获取到该值固定为Tenpay Certificate 。
  • keyPass 证书密码，这个默认就是商户号，在其它配置中也需要使用就是mchid，就是你用超级管理员登录微信商户平台在个人资料中的一串数字。

3. V3签名

微信支付V3版本的签名是我们在调用具体的微信支付的API时在HTTP请求头中携带特定的编码串供微信支付服务器进行验证请求来源，确保请求是真实可信的。

签名格式

签名串的具体格式，一共五行一行也不能少，每一行以换行符\n结束。

HTTP请求方法\n
URL\n
请求时间戳\n
请求随机串\n
请求报文主体\n
  • HTTP请求方法 你调用的微信支付API所要求的请求方法，比如APP支付为POST。
  • URL 比如APP支付文档中为https://api.mch.weixin.qq.com/v3/pay/transactions/app，除去域名部分得到参与签名的URL。如果请求中有查询参数，URL末尾应附加有'?'和对应的查询字符串。这里为/v3/pay/transactions/app。
  • 请求时间戳 服务器系统时间戳，保证服务器时间正确并利用System.currentTimeMillis() / 1000获取即可。
  • 请求随机串 找个工具类生成类似593BEC0C930BF1AFEB40B4A08C8FB242的字符串就行了。
  • 请求报文主体 如果是GET请求直接为空字符"" ；当请求方法为POST或PUT时，请使用真实发送的JSON报文。图片上传API，请使用meta对应的JSON报文。

生成签名

然后我们使用商户私钥对按照上面格式的待签名串进行SHA256 with RSA签名，并对签名结果进行Base64编码得到签名值。对应的核心Java代码为：

/*** V3  SHA256withRSA 签名.** @param method       请求方法  GET  POST PUT DELETE 等* @param canonicalUrl 例如  https://api.mch.weixin.qq.com/v3/pay/transactions/app?version=1 ——> /v3/pay/transactions/app?version=1* @param timestamp    当前时间戳   因为要配置到TOKEN 中所以 签名中的要跟TOKEN 保持一致* @param nonceStr     随机字符串  要和TOKEN中的保持一致* @param body         请求体 GET 为 "" POST 为JSON* @param keyPair      商户API 证书解析的密钥对  实际使用的是其中的私钥* @return the string*/
@SneakyThrows
String sign(String method, String canonicalUrl, long timestamp, String nonceStr, String body, KeyPair keyPair)  {String signatureStr = Stream.of(method, canonicalUrl, String.valueOf(timestamp), nonceStr, body).collect(Collectors.joining("\n", "", "\n"));Signature sign = Signature.getInstance("SHA256withRSA");sign.initSign(keyPair.getPrivate());sign.update(signatureStr.getBytes(StandardCharsets.UTF_8));return Base64Utils.encodeToString(sign.sign());
}

4. 使用签名

签名生成后会同一些参数组成一个Token放置到对应HTTP请求的Authorization请求头中，格式为：

Authorization: WECHATPAY2-SHA256-RSA2048 {Token}

Token由以下五部分组成：

  • 发起请求的商户（包括直连商户、服务商或渠道商）的商户号mchid

  • 商户API证书序列号serial_no，用于声明所使用的证书

  • 请求随机串nonce_str

  • 时间戳timestamp

  • 签名值signature

Token生成的核心代码：

/*** 生成Token.** @param mchId 商户号* @param nonceStr   随机字符串 * @param timestamp  时间戳* @param serialNo   证书序列号* @param signature  签名* @return the string*/
String token(String mchId, String nonceStr, long timestamp, String serialNo, String signature) {final String TOKEN_PATTERN = "mchid=\"%s\",nonce_str=\"%s\",timestamp=\"%d\",serial_no=\"%s\",signature=\"%s\"";// 生成tokenreturn String.format(TOKEN_PATTERN,wechatPayProperties.getMchId(),nonceStr, timestamp, serialNo, signature);
}

将生成的Token按照上述格式放入请求头中即可完成签名的使用。

5. 总结

本文我们对微信支付V3版本的难点签名以及签名的使用进行了完整的分析，同时对API证书的解析也进行了讲解，相信能够帮助你在支付开发中解决一些具体的问题。后面有时间我还将对签名的验证进行讲解，关注：码农小胖哥 及时获取系列知识。

关注公众号：Felordcn 获取更多资讯

个人博客：https://felord.cn

| 648658| | 2024-04-29T21:16:00| false| | 2021-05-13T18:02:07.73| true| 1. 前言 最近在折腾微信支付，证书还是比较烦人的，所以有必要分享一些经验，减少你在开发微信支付时的踩坑。目前微信支付的API已经发展到V3版本，采用了流行的Restful风格。 今天来分享微信支付的难点——签名，虽然有很多好用的SDK但是如果你想深入了解微信支付还是需要了解一下的。 2. API证| Anonymous|

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/860066.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

AI泳池溺水监测识别摄像机

AI泳池溺水监测识别摄像机

AI泳池溺水监测识别摄像机是一种利用人工智能和机器视觉技术的创新设备，旨在确保游泳池安全，并及时识别溺水事件，以减少溺水事故的发生。这种摄像机利用高清摄像头和AI算法，能够实时监测泳池中的情况，并自动识别溺水事件。它可以迅速发现水面上出现异常的情况，如有人体在…
阅读更多...
数据恢复软件下载_R-Studio V9.4.191420中文绿色版下载

数据恢复软件下载_R-Studio V9.4.191420中文绿色版下载

软件介绍 数据恢复软件R-Studio 绿色版是一款来自于加拿大的功能强大、经济高效的数据恢复软件，它将最先进的文件恢复和磁盘修复技术与直观的用户界面进行联合，可为企业和专业级数据恢复专家提供所需工具。不论是有经验的数据恢复专业人员，还是入门级用户都不会有使用方面的…
阅读更多...
泥石流识别摄像头

泥石流识别摄像头

泥石流识别摄像头的核心在于其深度学习算法，泥石流识别摄像头具备全天候监控的能力，无论是白天还是夜晚，都能稳定运行。当摄像头监测到山体出现落石、坍塌或泥石流等异常情况时，系统会立即启动报警机制。报警方式多样，包括发出声音警报、向用户的电脑或手机推送报警信息等…
阅读更多...
从零开始搭建SpringBoot项目

从零开始搭建SpringBoot项目

一、创建SpringBoot项目二、上一步填写完信息后点击Next，进入选择依赖库界面，在这里大家就可以选择我们开发当中要使用到的如：数据库驱动，技术，框架等等。 （下面是大多项目中会使用到的技术，可以根据项目选择会用的插件）三、给IDEA安装插件：需要给IDEA安装的插件一共有…
阅读更多...
中考阅读理解深入逻辑分析-007 Hooves of Justice: The Equine Guardians 正义之蹄：马匹守护者

中考阅读理解深入逻辑分析-007 Hooves of Justice: The Equine Guardians 正义之蹄：马匹守护者

中考阅读理解深入逻辑分析-007 Hooves of Justice: The Equine Guardians 正义之蹄：马匹守护者 文章正文 ​ Police officer Dennis was recently patrolling（巡逻）the streets of Newark, New Jersey. Suddenly, he found four men fighting. As he approached, one of…
阅读更多...
灵感上线，云开发实现抽奖转盘是多么简单的一件事

灵感上线，云开发实现抽奖转盘是多么简单的一件事

今天，我们继续深入探讨云开发的应用。本次，我们将实现一个简单的小游戏——转盘抽奖。这一项目的灵感来源于腾讯云创作之星内部每周举办的创作活动和每月的抽奖环节。由于每次抽奖都需要使用小程序进行，而小程序的审核过程通常较为缓慢，因此我想借助云开发，看看能否快速实…
阅读更多...
OCR实践-问卷表格统计

OCR实践-问卷表格统计

OCR实践，表格处理，基于前面的深度模型知识，实现表格图片自动统计分数，项目代码已开源 放在Github上，欢迎参考使用，对手动拍照的问卷图片进行统计分数（对应分数打对号），单张问卷各项得分写入excel文件，并汇总所有图片得分到 excel。前言 书接上文OCR实践—PaddleOCR O…
阅读更多...
blog-3

blog-3

前言 在过去的几周内，我们完成了家居强电电路模拟程序-3以及 家居强电电路模拟程序-4的练习，涉及多个知识点和编程技巧。整体来说，这两次题目集共包含了2道题目，题目难度逐步增加。（折叠代码是不在行列计算内的，只是我觉得结合代码能讲的更清楚我的思路，由于上次可能因为…
阅读更多...
3.1美化网页元素

3.1美化网页元素

1.为什么要美化网页有效的传递页面信息美化网页，页面漂亮才能吸引用户凸显页面主题提高用户体验span标签:重点要突出的字,使用span标签套起来 字体样式: 文本样式: 1.颜色 2.对齐方式 3.首行缩进 4.行高 line-height=height 可以实现上下居中 5.装饰(下划线)
阅读更多...
nacos根据业务需要自定义命名空间

nacos根据业务需要自定义命名空间

创建个订单的命名空间 配置列表这里就有了 本文来自博客园，作者：余生请多指教ANT，转载请注明原文链接：https://www.cnblogs.com/wangbiaohistory/p/18636783
阅读更多...
平芜尽处是春山

平芜尽处是春山

这个作业属于哪个课程软件工程2024 这个作业要求在哪里 个人总结 这个作业的目标 平芜尽处是春山：我的软件工程之旅学号 102202130📖平芜尽处是春山：我的软件工程之旅 📝总体回顾 在2024年，软件工程的出现，使我的大学生活变得异常繁忙，陪伴我度过了许多漆黑的夜晚，也…
阅读更多...
Amazon Bedrock 实践 - 利用 Llama 3.2 模型分析全球糖尿病趋势

Amazon Bedrock 实践 - 利用 Llama 3.2 模型分析全球糖尿病趋势

本文将探讨如何在 Amazon Bedrock 上，使用 Meta Llama 3.2 90B Instruct 模型来分析全球不同国家或地区的糖尿病患者的患病率分布数据。黄浩文 资深开发者布道师 亚马逊云科技 拥有电信、互联网以及云计算等行业超过 20 年的丰富经验，曾任职于微软、Sun 和中国电信。他目前专…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023