上一篇文章講了支付寶iOS SDK加密解密的邏輯惠赫，主要是從客戶端開發(fā)的角度分析邑贴。這篇文章會(huì)根據(jù)支付寶服務(wù)端php demo蜂林，來(lái)分析服務(wù)端的加密解密流程。
按照支付的場(chǎng)景须床，當(dāng)用戶支付完成后币呵，客戶端的邏輯就執(zhí)行完了。這個(gè)時(shí)候支付寶會(huì)回調(diào)商家設(shè)置的notifyURL侨颈，這個(gè)值是在客戶端設(shè)置的余赢。
order.notifyURL = @"http://www.xxx.com"; //回調(diào)URL
這個(gè)url是商品自己的服務(wù)端url，用來(lái)處理支付寶的回調(diào)哈垢。這個(gè)回調(diào)URL需要解決兩個(gè)問(wèn)題：
- 證明請(qǐng)求是由支付寶發(fā)起的
- 證明請(qǐng)求的數(shù)據(jù)在傳輸過(guò)程中沒(méi)有被篡改
其實(shí)這兩個(gè)問(wèn)題在上一篇文章里也已經(jīng)遇到了妻柒，解決方案和上一篇文章也差不多，只不過(guò)這次角色對(duì)調(diào)了耘分。
解決方案：
- 支付寶用自己的私鑰將特征碼加密后举塔，將此數(shù)據(jù)發(fā)給商家服務(wù)器，服務(wù)器使用支付寶的公鑰對(duì)密文進(jìn)行解密求泰，如果解密成功可唯一確定這是用支付寶的私鑰加密的密文央渣。
- 支付寶對(duì)商品數(shù)據(jù)做
SHA1簽名，得到一個(gè)和這個(gè)商品信息唯一相關(guān)的字符串渴频，然后對(duì)這個(gè)字符串加密芽丹，然后將這個(gè)加密后的字符串給商戶服務(wù)器，商戶拿到商品信息和這個(gè)加密后的字符串后卜朗，首先解密拔第，還原為SHA1簽名字符串，然后對(duì)商品信息進(jìn)行SHA1簽名场钉，對(duì)比這兩個(gè)SHA1簽名字符串蚊俺，如果相等，那么這個(gè)商品一定沒(méi)有被篡改過(guò)逛万。因?yàn)槿绻畔⒈淮鄹挠锯敲催@個(gè)SHA1簽名肯定不一樣；如果有人想要偽造這個(gè)SHA1簽名宇植，又需要私鑰得封，所以這就保證了這個(gè)商品是支付寶發(fā)的。
原理清楚了当纱，我們看看支付寶提供的php demo是怎么具體處理的呛每。
//notify.php
//計(jì)算得出通知驗(yàn)證結(jié)果
$alipayNotify = new AlipayNotify($alipay_config);
if($alipayNotify->getResponse($_POST['notify_id']))//判斷成功之后使用getResponse方法判斷是否是支付寶發(fā)來(lái)的異步通知。
{
if($alipayNotify->getSignVeryfy($_POST, $_POST['sign'])) {//使用支付寶公鑰驗(yàn)簽
這里通過(guò)調(diào)用getSignVeryfy坡氯，用支付寶公鑰驗(yàn)簽
//alipay_notify.class.php
/**
* 獲取返回時(shí)的簽名驗(yàn)證結(jié)果
* @param $para_temp 通知返回來(lái)的參數(shù)數(shù)組
* @param $sign 返回的簽名結(jié)果
* @return 簽名驗(yàn)證結(jié)果
*/
function getSignVeryfy($para_temp, $sign) {
//除去待簽名參數(shù)數(shù)組中的空值和簽名參數(shù)
$para_filter = paraFilter($para_temp);
//對(duì)待簽名參數(shù)數(shù)組排序
$para_sort = argSort($para_filter);
//把數(shù)組所有元素晨横，按照“參數(shù)=參數(shù)值”的模式用“&”字符拼接成字符串
$prestr = createLinkstring($para_sort);
$isSgin = false;
switch (strtoupper(trim($this->alipay_config['sign_type']))) {
case "RSA" :
$isSgin = rsaVerify($prestr, trim($this->alipay_config['alipay_public_key']), $sign);
break;
default :
$isSgin = false;
}
return $isSgin;
}
這里通過(guò)rsaVerify($data, $alipay_public_key, $sign)完成驗(yàn)簽洋腮，$data是待簽名數(shù)據(jù)，它是把_POST數(shù)組所有元素手形，按照“參數(shù)=參數(shù)值”的模式用“&”字符拼接成字符串啥供，也就是所有的商品參數(shù)。$alipay_public_key是支付寶的公鑰字符串库糠，$sign是要要校對(duì)的的簽名結(jié)果伙狐，它的值是通過(guò)$_POST['sign']獲取的。函數(shù)實(shí)現(xiàn)如下
/**
* RSA驗(yàn)簽
* @param $data 待簽名數(shù)據(jù)
* @param $alipay_public_key 支付寶的公鑰字符串
* @param $sign 要校對(duì)的的簽名結(jié)果
* return 驗(yàn)證結(jié)果
*/
function rsaVerify($data, $alipay_public_key, $sign) {
//以下為了初始化私鑰瞬欧，保證在您填寫私鑰時(shí)不管是帶格式還是不帶格式都可以通過(guò)驗(yàn)證贷屎。
$alipay_public_key=str_replace("-----BEGIN PUBLIC KEY-----","",$alipay_public_key);
$alipay_public_key=str_replace("-----END PUBLIC KEY-----","",$alipay_public_key);
$alipay_public_key=str_replace("\n","",$alipay_public_key);
$alipay_public_key='-----BEGIN PUBLIC KEY-----'.PHP_EOL.wordwrap($alipay_public_key, 64, "\n", true) .PHP_EOL.'-----END PUBLIC KEY-----';
$res=openssl_get_publickey($alipay_public_key);
if($res)
{
$result = (bool)openssl_verify($data, base64_decode($sign), $res);
}
else {
echo "您的支付寶公鑰格式不正確!"."<br/>"."The format of your alipay_public_key is incorrect!";
exit();
}
openssl_free_key($res);
return $result;
}
這里通過(guò)openssl_verify()，完成驗(yàn)簽艘虎。
openssl_verify() verifies that the signature is correct for the specified data using the public key associated with pub_key_id. This must be the public key corresponding to the private key used for signing.
如果驗(yàn)簽成功唉侄，執(zhí)行業(yè)務(wù)邏輯代碼，比如訂單狀態(tài)變更等野建；否則属划，提示錯(cuò)誤信息。
總結(jié)：
通過(guò)RSA加密候生，支付寶保證了數(shù)據(jù)的安全傳遞同眯。類似地，如果需要實(shí)現(xiàn)客戶端和服務(wù)器加密傳輸唯鸭，我們可以采用類似的策略须蜗，來(lái)保證數(shù)據(jù)的安全傳輸。
