Android集成支付宝支付的大坑

支付宝支付集成的时候其实是有很多坑的,很多不安全因素在里面,最近在做支付宝集成的坑做个总结

• 公钥,订单信息,需要服务器来返回，官方demo是客户端生成的订单信息.
• 客户端不能直接返回9000就说明支付成功
• 验签的坑
• 检验参数的合法性

以上四点全部处理了，集成支付宝才是安全的.

这里我只写关键的伪代码

1.公钥,订单信息,需要服务器来返回

1.首先我们需要发起一个支付宝预支付请求,请求参数如下：

body.put("loginUserId", params.loginUserId);
body.put("password",params.password);
body.put("app_id", params.app_id);
body.put("subject", params.subject);
body.put("body", params.body);
body.put("out_trade_no", params.out_trade_no);
body.put("total_amount", params.total_amount);
body.put("business", params.business);
body.put("employeeId", params.employeeId);

2.然后从服务器返回的数据有

public String orderParam    ;//string   是   支付参数字符串,我们需要把这个数据提交给支付
public String alipayPublicKey;//    string  是   支付宝公钥
public String sellerId;//   string  是   支付宝注册的卖方Id
public String appId;//  string  是   支付宝注册的应用Id

3.支付宝预支付成功后，发起支付宝支付操作

   if (result.getSuccess()) {
                    mPreBean = JSON.parseObject(result.getBody(), AliPayPrePayBean.class);
                    Runnable payRunnable = new Runnable() {
                        @Override
                        public void run() {
                            // 构造PayTask 对象
                            PayTask alipay = new PayTask(mActivity);
                            // 调用支付接口，获取支付结果
                            String resultStr = alipay.pay(mPreBean.orderParam, true);
                            Message msg = new Message();
                            msg.what = SDK_PAY_FLAG;
                            msg.obj = resultStr;
                            mHandler.sendMessage(msg);
                        }
                    };
                    // 必须异步调用
                    Thread payThread = new Thread(payRunnable);
                    payThread.start();
                }

2.客户端返回9000不能直接说明支付成功

我这里上一下代码：

 switch (msg.what) {
                case SDK_PAY_FLAG: {

                    LogUtils.i("--------------" + msg.obj);

                    PayResult payResult = new PayResult((String) msg.obj);

                    // 支付宝返回此次支付结果及加签，建议对支付宝签名信息拿签约时支付宝提供的公钥做验签
                    String result = payResult.getResult();

                    String resultStatus = payResult.getResultStatus();
                    // 判断resultStatus 为“9000”则代表支付成功，具体状态码代表含义可参考接口文档,且进一步检验订单的合法性
                    if ("9000".equals(resultStatus)) {
                        if (!checkSignInfo(result) || !checkInfoRight(result)) {
                            BToast.show(mActivity, "非法支付！");
                            payCallback.payFail();
                            return;
                        }

                        payCallback.paySuccess();
                    } else {
                        BToast.show(mActivity, payResult.getMemo());
                        payCallback.payFail();
                    }
                    break;
                }
                case SDK_CHECK_FLAG: {
                    BToast.show(mActivity, "检查结果为：" + msg.obj);
                    break;
                }
                default:
                    break;
            }

1.返回9000的时候不能就直接说明成功了，支付宝的demo有些坑爹，这里要注意，因为这里会有其它的插件来破解，能直接获取一个9000，导致1分钟能随意充钱进入你的平台.所以这里需要进行再次检验，这里支付宝官方也有说明 但文档也有些坑.

3.支付宝验签的坑

支付宝返回的数据中有一个叫alipay_trade_app_pay_response 字段值，里面的值必须按支付宝返回的的数据顺序来，一点也不能动，不要想用fastjson来处理了,应当直接用原生的json来处理，这样里面获取的数据顺序就不会被改变.这个时候才可以通过验签
代码如下：

注意这个包alipay-sdk-java20170117151523要导入.验签要用的

        boolean isTrueSign = false;
        try {
            JSONObject object = new JSONObject(resultInfo);
            String response = object.getString("alipay_trade_app_pay_response");
            isTrueSign = AlipaySignature.rsa256CheckContent(response, resultBean.sign, mPreBean.alipayPublicKey, responseBean.charset);
        } catch (JSONException e) {
            e.printStackTrace();
        } catch (AlipayApiException e) {
            e.printStackTrace();
        }

4.检验数据的合法性：

最后一步检验数据的合法性

 private boolean checkInfoRight(String resultInfo) {
        AliPayResultBean resultBean = JSON.parseObject(resultInfo, AliPayResultBean.class);
        AliPayResultResponseBean responseBean = JSON.parseObject(resultBean.alipay_trade_app_pay_response,
                AliPayResultResponseBean.class);
        try {
            if (params.out_trade_no.equals(responseBean.out_trade_no) &&
                    Float.parseFloat(params.total_amount) == Float.parseFloat(responseBean.total_amount) &&
                    mPreBean.sellerId.equals(responseBean.seller_id) &&
                    params.app_id.equals(responseBean.app_id)) {
                return true;
            }
        } catch (Exception e) {
            return false;
        }
        return false;
    }

5.如果你的手机上没有安装支付宝客户端的坑

注意如果你的手机上没有安装支付宝客户端，也是可以支付的，但是如果你没有在你的清单文件上配置如下代码，就会出现支付失败。报4000错误，所以一定要加上以下代码。保证无论手机上是否有安装支付宝都能支付成功。

  <activity
            android:name="com.alipay.sdk.app.H5PayActivity"
            android:configChanges="orientation|keyboardHidden|navigation"
            android:exported="false"
            android:screenOrientation="behind" >
        </activity>