微信Native下单API v3 回调接口解密

た入场券 2023-09-29 19:37 8阅读 0赞

> 微信支付通过支付通知接口将用户支付成功消息通知给商户。

**目录**

一、定义个回调通知方法

二、官方提供的AES解密工具

三、调用工具类解密加密数据

四、值得注意的一些问题

--------------------

**接口说明**

**请求方式：**POST

**回调URL：**该链接是通过基础下单接口中的请求参数“notify\_url”来设置的，要求必须为https地址。请确保回调URL是外部可正常访问的，且不能携带后缀参数，否则可能导致商户无法接收到微信的回调通知信息。回调URL示例：“https://pay.weixin.qq.com/wxpay/pay.action”

tip:在本地开发过程中，可以用内网穿透工具来模拟真实的用户扫码操作。

**通知规则**

用户支付完成后，微信会把相关支付结果和用户信息发送给商户，商户需要接收处理该消息，并返回应答。

对后台通知交互时，如果微信收到商户的应答不符合规范或超时，微信认为通知失败，微信会通过一定的策略定期重新发起通知，尽可能提高通知的成功率，但微信不保证通知最终能成功。（通知频率为15s/15s/30s/3m/10m/20m/30m/30m/30m/60m/3h/3h/3h/6h/6h - 总计 24h4m）

**通知报文**

支付结果通知是以POST 方法访问商户设置的通知url，通知的数据以JSON 格式通过请求主体（BODY）传输。通知的数据包括了加密的支付结果详情。  
（注：由于涉及到回调加密和解密，商户必须先设置好apiv3秘钥后才能解密回调通知，apiv3秘钥设置文档指引详见[APIv3秘钥设置指引][APIv3]）

**参数解密**

下面详细描述对通知数据进行解密的流程：

1.  1、用商户平台上设置的APIv3密钥【[微信商户平台][Link 1]—>账户设置—>API安全—>设置APIv3密钥】，记为key；
2.  2、针对resource.algorithm中描述的算法（目前为AEAD\_AES\_256\_GCM），取得对应的参数nonce和associated\_data；
3.  3、使用key、nonce和associated\_data，对数据密文resource.ciphertext进行解密，得到JSON形式的资源对象；

**注：** AEAD\_AES\_256\_GCM算法的接口细节，请参考[rfc5116][]。微信支付使用的密钥key长度为32个字节，随机串nonce长度12个字节，associated\_data长度小于16个字节并可能为空字符串。

## 一、定义个回调通知方法 ##

(1) 引入官方提供的v3依赖包

<dependency>
                <groupId>com.github.wechatpay-apiv3</groupId>
                <artifactId>wechatpay-java</artifactId>
                <version>0.2.5</version>
            </dependency>

(2) 定义回调通知方法

/**
         * 微信支付通知
         *
         * @return
         */
        @RequestMapping(value = "/wxpay/notifyUrl", method = RequestMethod.POST)
        @ResponseBody
        @RepeatSubmit
        public void wxPayNotify(@RequestBody JSONObject jsonObject) {
            payService.wxpayNotify(jsonObject);
        }

在用户扫码支付成功之后，此方法的jsonObject的值如下图所示。

![67992e819f01443dae96faca99fb0dcf.png][]

## 二、官方提供的AES解密工具 ##

package com.ruoyi.cms.util;
    
    import java.io.IOException;
    import java.security.GeneralSecurityException;
    import java.security.InvalidAlgorithmParameterException;
    import java.security.InvalidKeyException;
    import java.security.NoSuchAlgorithmException;
    import java.util.Base64;
    import javax.crypto.Cipher;
    import javax.crypto.NoSuchPaddingException;
    import javax.crypto.spec.GCMParameterSpec;
    import javax.crypto.spec.SecretKeySpec;
    
    public class AesUtil {
    
        static final int KEY_LENGTH_BYTE = 32;
        static final int TAG_LENGTH_BIT = 128;
        private final byte[] aesKey;
    
        public AesUtil(byte[] key) {
            if (key.length != KEY_LENGTH_BYTE) {
                throw new IllegalArgumentException("无效的ApiV3Key，长度必须为32个字节");
            }
            this.aesKey = key;
        }
    
        public String decryptToString(byte[] associatedData, byte[] nonce, String ciphertext)
                throws GeneralSecurityException, IOException {
            try {
                Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
    
                SecretKeySpec key = new SecretKeySpec(aesKey, "AES");
                GCMParameterSpec spec = new GCMParameterSpec(TAG_LENGTH_BIT, nonce);
    
                cipher.init(Cipher.DECRYPT_MODE, key, spec);
                cipher.updateAAD(associatedData);
    
                return new String(cipher.doFinal(Base64.getDecoder().decode(ciphertext)), "utf-8");
            } catch (NoSuchAlgorithmException | NoSuchPaddingException e) {
                throw new IllegalStateException(e);
            } catch (InvalidKeyException | InvalidAlgorithmParameterException e) {
                throw new IllegalArgumentException(e);
            }
        }
    }

## 三、调用工具类解密加密数据 ##

@Override
        public void wxpayNotify(JSONObject jsonObject) {
            String key = "APIv3秘钥（32位）";
            String json = jsonObject.toString();
            String associated_data = (String) JSONUtil.getByPath(JSONUtil.parse(json), "resource.associated_data");
            String ciphertext = (String) JSONUtil.getByPath(JSONUtil.parse(json), "resource.ciphertext");
            String nonce = (String) JSONUtil.getByPath(JSONUtil.parse(json), "resource.nonce");
            try {
                String decryptData = new AesUtil(key.getBytes(StandardCharsets.UTF_8)).decryptToString(associated_data.getBytes(StandardCharsets.UTF_8), nonce.getBytes(StandardCharsets.UTF_8), ciphertext);
                System.out.println("decryptData = " + decryptData);
                //TODO 业务校验
            } catch (Exception e) {
                System.out.println("e = " + e);
            }
    
        }

解密成功后的数据是这样的。

![ebbc3f30658145a2ae750b625aa60961.png][]

## 四、值得注意的一些问题 ##

> • 同样的通知可能会多次发送给商户系统。商户系统必须能够正确处理重复的通知。 推荐的做法是，当商户系统收到通知进行处理时，先检查对应业务数据的状态，并判断该通知是否已经处理。如果未处理，则再进行处理；如果已处理，则直接返回结果成功。在对业务数据进行状态检查和处理之前，要采用数据锁进行并发控制，以避免函数重入造成的数据混乱。
> 
> • 如果在所有通知频率后没有收到微信侧回调，商户应调用查询订单接口确认订单状态。
> 
> --------------------
> 
> **特别提醒：**商户系统对于开启结果通知的内容一定要做签名验证，并校验通知的信息是否与商户侧的信息一致，防止数据泄露导致出现“假通知”，造成资金损失。

[APIv3]: https://kf.qq.com/faq/180830E36vyQ180830AZFZvu.html
[Link 1]: https://pay.weixin.qq.com/
[rfc5116]: https://datatracker.ietf.org/doc/html/rfc5116
[67992e819f01443dae96faca99fb0dcf.png]: https://img-blog.csdnimg.cn/67992e819f01443dae96faca99fb0dcf.png
[ebbc3f30658145a2ae750b625aa60961.png]: https://img-blog.csdnimg.cn/ebbc3f30658145a2ae750b625aa60961.png