電商類app最終都會面臨一個問題:如何讓用戶便捷地在線支付。由于支付行業(yè)本身的復雜性和特殊性薯蝎,大部分公司會選擇集成第三方支付德绿。支付寶作為國內(nèi)最大的第三方支付公司辕录,由于其極其廣泛的用戶基礎(chǔ)昵仅,成了很多公司首選的支付方案缓熟。支付寶提供了相對完善的sdk和文檔,只要按照步驟操作摔笤,集成sdk不是件太難的事情够滑,但是sdk背后涉及許多安全相關(guān)的內(nèi)容。如果能認真理解支付寶sdk demo的加密解密邏輯籍茧,舉一反三版述,我們也能應(yīng)用到自己的項目里。本文會從sdk demo提供的源碼出發(fā)寞冯,分析背后的加密解密流程。
SDK需要解決的問題
- 是哪家商戶發(fā)起了調(diào)用晚伙?如何保證發(fā)起請求的就是那家商家吮龄?
- 如何保證商品數(shù)據(jù)在網(wǎng)絡(luò)傳輸中沒有被篡改?
解決方案
- 客戶端用自己的私鑰將特征碼加密后咆疗,將此數(shù)據(jù)發(fā)給服務(wù)器漓帚,服務(wù)器使用商戶的公鑰對密文進行解密,如果解密成功可唯一確定這是用商戶的私鑰加密的密文午磁。只要商戶的私鑰不被泄露尝抖,那么使用私鑰的人肯定是那家商戶。
- 我們可以對商品數(shù)據(jù)做
SHA1
簽名迅皇,目的是得到一個和這個商品信息唯一相關(guān)的字符串昧辽,然后對這個字符串加密,然后將這個加密后的字符串給支付寶登颓,支付寶拿到商品信息和這個加密后的字符串后搅荞,首先解密,還原為SHA1
簽名字符串框咙,然后對商品信息進行SHA1
簽名咕痛,對比這兩個SHA1
簽名字符串,如果相等喇嘱,那么這個商品一定沒有被篡改過茉贡。因為如果信息被篡改,那么這個SHA1
簽名肯定不一樣者铜;如果有人想要偽造這個SHA1
簽名腔丧,又需要私鑰放椰,所以這就保證了這個商品是你發(fā)的。
代碼分析
支付寶sdk完整的一次加密解密涉及客戶端和服務(wù)端兩部分
- 客戶端通過支付寶sdk發(fā)起調(diào)用悔据,發(fā)送加密后的商品信息
- 支付寶sdk解析數(shù)據(jù)后跳轉(zhuǎn)到支付寶app顯示支付頁面庄敛,用戶執(zhí)行支付操作
- 服務(wù)端解析支付寶支付完成后的回調(diào),包含加密后的支付結(jié)果數(shù)據(jù)
本文分析客戶端的實現(xiàn)科汗,也就是上述的1和2:
/*
*生成訂單信息
*/
//將商品信息賦予AlixPayOrder的成員變量
Order *order = [[Order alloc] init];
order.partner = partner;
order.sellerID = seller;
order.outTradeNO = [self generateTradeNO]; //訂單ID(由商家自行制定)
order.subject = product.subject; //商品標題
order.body = product.body; //商品描述
order.totalFee = [NSString stringWithFormat:@"%.2f",product.price]; //商品價格
order.notifyURL = @"http://www.xxx.com"; //回調(diào)URL
這里設(shè)置了商品的信息藻烤,包括商品標題、商品描述和價格头滔,要注意的是怖亭,這里order.notifyURL
是服務(wù)端的回調(diào)地址,也就是執(zhí)行上述的第三步坤检。
//將商品信息拼接成字符串
NSString *orderSpec = [order description];
NSLog(@"orderSpec = %@",orderSpec);
//獲取私鑰并將商戶信息簽名,外部商戶可以根據(jù)情況存放私鑰和簽名,只需要遵循RSA簽名規(guī)范,并將簽名字符串base64編碼和UrlEncode
id<DataSigner> signer = CreateRSADataSigner(privateKey);
NSString *signedString = [signer signString:orderSpec];
這里的orderSpec
包含了商品的所有信息兴猩。通過CreateRSADataSigner(privateKey)
首先對商品信息執(zhí)行sha1
簽名并執(zhí)行RSA
加密,其中的privateKey
是商戶自己的private key早歇。具體的簽名加密是通過下面這個函數(shù)執(zhí)行的
//該簽名方法僅供參考,外部商戶可用自己方法替換
- (NSString *)signString:(NSString *)string {
......
const char *message = [string cStringUsingEncoding:NSUTF8StringEncoding];
int messageLength = (int)strlen(message);
unsigned char *sig = (unsigned char *)malloc(256);
unsigned int sig_len;
int ret = rsa_sign_with_private_key_pem((char *)message, messageLength, sig, &sig_len, (char *)[path UTF8String]);
//簽名成功,需要給簽名字符串base64編碼和UrlEncode,該兩個方法也可以根據(jù)情況替換為自己函數(shù)
if (ret == 1) {
NSString * base64String = base64StringFromData([NSData dataWithBytes:sig length:sig_len]);
//NSData * UTF8Data = [base64String dataUsingEncoding:NSUTF8StringEncoding];
signedString = [self urlEncodedString:base64String];
}
free(sig);
return signedString;
}
其中rsa_sign_with_private_key_pem
函數(shù)實現(xiàn)如下
int rsa_sign_with_private_key_pem(char *message, int message_length
, unsigned char *signature, unsigned int *signature_length
, char *private_key_file_path)
{
SHA1((unsigned char *)message, message_length, sha1);
......
int rsa_sign_valid = RSA_sign(NID_sha1
, sha1, 20
, signature, signature_length
, rsa_private);
return success;
}
通過OpenSSL
提供的SHA1((unsigned char *)message, message_length, sha1);
方法生成了sha1
簽名倾芝,RSA_sign(NID_sha1, sha1, 20, signature, signature_length, rsa_private)
生成了RSA
加密后的signature
。
//將簽名成功字符串格式化為訂單字符串,請嚴格按照該格式
NSString *orderString = nil;
if (signedString != nil) {
orderString = [NSString stringWithFormat:@"%@&sign=\"%@\"&sign_type=\"%@\"",
orderSpec, signedString, @"RSA"];
[[AlipaySDK defaultService] payOrder:orderString fromScheme:appScheme callback:^(NSDictionary *resultDic) {
NSLog(@"reslut = %@",resultDic);
}];
}
這里通過payOrder
發(fā)起了對支付寶app的調(diào)用箭跳。這里的orderSpec
就是商品的明文信息晨另,signedString
是加密后的SHA1
簽名, orderString
包含了商品明文信息和加密后的SHA1
簽名。payOrder
方法不是開源的谱姓,我們可以大致猜測下它的實現(xiàn)借尿。
- 支付寶服務(wù)端接收到明文消息
orderSpec
和簽名signedString
。 - 支付寶服務(wù)端使用商戶的公鑰和
orderSpec
驗證簽名signedString
- 如果驗簽成功屉来,解析商品詳細信息路翻,并跳轉(zhuǎn)到支付寶app執(zhí)行支付流程;如果驗簽失敗茄靠,則提示錯誤信息茂契。
- 用戶完成支付,跳回原來的app嘹黔,并進入客戶端
callback
執(zhí)行NSLog(@"reslut = %@",resultDic);
账嚎。至此,客戶端sdk這邊的工作就完成了儡蔓。
下一篇文章會基于支付寶提供的PHP demo分析服務(wù)端的實現(xiàn)郭蕉。