第五节、项目支付功能实战-证书获取、微信支付集成初始化配置、sdk统一下单、api安全源码解读_微信支付获取平台证书

最新推荐文章于 2024-06-06 17:03:40 发布

Java最新笔试

最新推荐文章于 2024-06-06 17:03:40 发布

阅读量388

点赞数 4

分类专栏： 2024年程序员学习文章标签：微信安全

本文链接：https://blog.csdn.net/m0_57541068/article/details/137690085

版权

2024年程序员学习专栏收录该内容

226 篇文章 1 订阅

订阅专栏

 CertificateDownloader downloader =
        new CertificateDownloader.Builder()
            .certificateHandler(rsaCertificateHandler)
            .downloadUrl(REQUEST\_URL)
            .aeadCipher(aeadCipher)
            .httpClient(httpClient)
            .build();

其中 REQUEST_URL = "https://api.mch.weixin.qq.com/v3/certificates?algorithm_type=RSA" , aeadCipher 为APIv3密钥。构造的httpClient
4、证书下载：

  /\*\*
 \* 注册证书下载任务 如果是第一次注册，会先下载证书。如果能成功下载，再保存下载器，供定时更新证书使用。如果下载失败，会抛出异常。
 \* 如果已经注册过，当前传入的下载器将覆盖之前的下载器。如果当前下载器不能下载证书，定时更新证书会失败。
 \*
 \* @param merchantId 商户号
 \* @param type 调用方自定义的证书类型，例如 RSA/ShangMi
 \* @param downloader 证书下载器
 \*/
  public static void register(String merchantId, String type, CertificateDownloader downloader) {
    String key = calculateDownloadWorkerMapKey(merchantId, type);
    Runnable worker =
        () -> {
          Map<String, X509Certificate> result = downloader.download();
          certificateMap.put(key, result);
        };

    // 下载证书，以验证配置是正确的
    // 如果错误将抛出异常，fast-fail
    worker.run();
    // 更新配置
    downloadWorkerMap.put(key, worker);

    start(defaultUpdateInterval);
  }

打开download方法：

  /\*\* 下载证书 \*/
  public Map<String, X509Certificate> download() {        
    HttpRequest httpRequest =
        new HttpRequest.Builder()
            .httpMethod(HttpMethod.GET)
            .url(downloadUrl)
            .addHeader(Constant.ACCEPT, " \*/\*")
            .addHeader(Constant.CONTENT\_TYPE, MediaType.APPLICATION\_JSON.getValue())
            .build();
    HttpResponse<DownloadCertificateResponse> httpResponse =
        httpClient.execute(httpRequest, DownloadCertificateResponse.class);

    Map<String, X509Certificate> downloaded = decryptCertificate(httpResponse);
    validateCertificate(downloaded);
    return downloaded;
  }

这里大家注意，重点来了，在下载证书时，sdk将签名封装到了httpClient中，在 HttpResponse<DownloadCertificateResponse> httpResponse = httpClient.execute(httpRequest, DownloadCertificateResponse.class); 这段代码中的execute方法中通过构造token值，并将token放到请求的header中，重点看这个方法getAuthorization(httpRequest) 这个方法中，使用了商户的私钥将请求body进行签名，并将明文、商户的公钥、签名信息组成token串发送给了微信平台，具体构造token的代码块为：

 String token =
        "mchid=\""
            + getMerchantId()
            + "\","
            + "nonce\_str=\""
            + nonceStr
            + "\","
            + "timestamp=\""
            + timestamp
            + "\","
            + "serial\_no=\""
            + signature.getCertificateSerialNumber()
            + "\","
            + "signature=\""
            + signature.getSign()
            + "\"";

请求完成后，微信平台侧会实时将响应数据返回。在商户侧调用decryptCertificate(httpResponse) 将响应的数据进行解密，解密时使用我们之前设置的APIv3密钥。紧接着会验证下载证书的有效性会调用 validateCertificate(downloaded);具体的验证代码段如下：

 PKIXParameters params = new PKIXParameters(trustAnchor);
      params.setRevocationEnabled(false);

      List<X509Certificate> certs = new ArrayList<>();
      certs.add(certificate);

      CertificateFactory cf = CertificateFactory.getInstance("X.509"); 
      CertPath certPath = cf.generateCertPath(certs);

      CertPathValidator validator = CertPathValidator.getInstance("PKIX");
      validator.validate(certPath, params);

上述代码块用于检查证书是否由可信的根证书颁发，以及证书是否有效。X509Certificate是一种常用的数字证书标准。首先创建一个 PKIXParameters 类型的对象，它是一个用于验证证书路径的参数集合，它的构造器需要一个 trustAnchor 参数，表示可信的根证书，它是一个 Set 类型的对象，它包含了一个或多个根证书的信息。 getInstance(“PKIX”) 返回一个支持 PKIX（公钥基础设施）算法的验证器实例。

证书下载完成会存放到 AutoCertificateService类certificateMap中，certificateMap 是一个ConcurrentHashMap ，是线程安全的，可以支持多线程的并发访问和修改，而AutoCertificateService类是一个定时更新证书的服务，它是一个由静态函数构成的工具类。

private static final ConcurrentHashMap<String, Map<String, X509Certificate>> certificateMap =       
      new ConcurrentHashMap<>();
Map<String, X509Certificate> result = downloader.download();                       
certificateMap.put(key, result);

到此微信平台证书的自动下载过程就描述清楚了，下面我们来总结一下具体流程：

（1）商户侧包装商户信息：商户号、商户公钥、商户私钥等信息，并将请求的数据进行签名。将签名和公钥、时间戳、随机数等信息打包成token放到请求头部发送至微信平台侧。
（2）微信测收到请求后获取到认证token，并解析出商户公钥和明文信息，对数据进行验签。同时使用APIv3密钥将证书进行加密同步返回给商户侧。
（3）商户侧收到微信侧的响应数据后，从响应数据解密出证书，应答报文解密后，生成X.509证书对象，也就是将证书从String转为X509Certificate。
（4）验证证书的有效性
（5）将证书存储到AutoCertificateService中的certificateMap 中。

APIv3密钥设置

在商户平台中【微信支付商户平台 - 账户中心 - 账户设置 - API安全 - APIv3密钥设置】，这个可使用在线生成器生成地址：https://www.bchrt.com/tools/suijimima/

商户平台证书和私钥的获取

以下内容来自微信官网：https://kf.qq.com/faq/161222NneAJf161222U7fARv.html
1、登录【微信支付商户平台 - 账户中心 - 账户设置 - API安全 - 申请API证书】申请证书，确定后请勿关闭页面
在这里插入图片描述

2、点击下载证书工具；下载后，双击“WXCertUtil.exe”文件，选择安装路径后，点击申请证书

也可通过以下链接下载证书工具：

windows版本
 mac版本

3、在【证书工具】，填写商户号信息（商户号、商户名称），点击下一步
在这里插入图片描述
4、在【证书工具】，复制证书请求串
（若提示"请粘贴请求串到商户平台获取证书串"，请在第5点步骤检查是否已粘贴。可同时尝试手动鼠标复制粘贴的方法）

5、在【商户平台】，粘贴证书请求串

6、在【商户平台】，输入操作密码，安全验证后生成证书串
在这里插入图片描述
7、在【商户平台】，复制证书串

8、在【证书工具】，粘贴证书串，点击下一步，申请证书成功
（若提示"证书与本地公私钥不匹配"，可能是浏览器禁用了剪切板复制功能。请在操作步骤第7点，操作时使用鼠标选中全部证书串内容（注意右边有下拉框），单击鼠标右键选择复制）
在这里插入图片描述

提醒：请将生成的证书文件转交给技术人员，由技术人员将证书部署到服务器上（请务必妥善保管证书及私钥，因为私钥文件只能通过证书工具导出，若私钥丢失，则无法找回，只能作废后重新申请。）

9、证书申请成功后，在证书文件夹中解压文件会发现有3个文件：.p12 这个不用管，其中两个文件apiclient_cert.pem（商户公钥文件）、apiclient_key（商户私钥文件）。

到此，商户API证书已经获取完毕。

初始化微信配置

为了统一配置微信支付用到的信息，我们在项目的resource目录下创建一个配置文件wxpay.properties

# 商户号
wxpay.mch-id=xxxxxxx
# 微信商户证书序列号                                                                           
wxpay.mch-serial-no=xxxxxxxxxxxxxxxxxxx
# 商户私钥（路径加载方式使用）
wxpay.private-key-path=apiclient_key.pem
# APIv3密钥
wxpay.api-v3-key=xxxxxxxxxxxxxx
# 小程序APPID
wxpay.appid=xxxxxxxxxxx
# 微信小程序密钥
wxpay.appSecret=xxxxxxxxxxxxxxxxxxxxxxxxx
# 微信商户平台域名（调用接口时的通用域名）
wxpay.domain=https://api.mch.weixin.qq.com
#微信支付回调地址域名（需要https 并且为备案的域名）
wxpay.notify-domain=https://test.notify.com
#商户私钥
wxpay.private-key=-----BEGIN PRIVATE KEY-----xxxx-----END PRIVATE KEY-----

其对应的配置类如下：

@Configuration
@PropertySource("classpath:wxpay.properties") //读取配置文件
@ConfigurationProperties(prefix="wxpay") //读取wxpay节点
@Data //使用set方法将wxpay节点中的值填充到当前类的属性中
public class WxPayConfig {

    // 商户号
    private  String mchId;

    // 商户API证书序列号
    private  String mchSerialNo;  

    // 商户私钥文件
    private  String privateKeyPath;

    // APIv3密钥
    private  String apiV3Key;

    // APPID
    private String appid;
    //小程序密钥
    private String appSecret;
    // 微信服务器地址
    private String domain;

    // 接收结果通知地址
    private String notifyDomain;

    // APIv2密钥
    private String partnerKey;

    //商户私钥字符串
    private String privateKey;
}

小程序统一下单

本节，主要来以分析小程序统一下单的案例，来说明sdk的使用方式，以及商户证书和平台证书的在调用下单接口时是如何使用的，本节不会过多在当前项目中展开业务代码，只讲解下单接口如何调用，安全验证的过程。

在调用小程序下单接口之前，首先要创建订单数据，调用下单接口时将订单数据传过去，比如订单金额、商品id、订单编号等。微信收到订单后会返回预付订单id以及微信平台返回的微信订单信息，下面来看看具体的调用代码,下面是小程序下单的代码块。

  if (config == null){         
            config = WxInitUtils.getInstance(wxPayConfig);
  }
 JsapiServiceExtension service = new JsapiServiceExtension.Builder().config(config).build();
        // 填充预下单参数
        PrepayRequest request = new PrepayRequest();
        //appid
        request.setAppid(wxPayConfig.getAppid());
        //商户id
        request.setMchid(wxPayConfig.getMchId());
        //产品描述
        assert orderInfo != null;
        request.setDescription(orderInfo.getOrderTitle());
        //商户订单号
        request.setOutTradeNo(orderInfo.getOrderNo());
        //通知url
        request.setNotifyUrl(wxPayConfig.getNotifyDomain().concat(WxNotifyType.NATIVE\_NOTIFY.getType()));     

        //金额信息
        Amount amount = new Amount();
        amount.setTotal(orderInfo.getTotalFee());
        amount.setCurrency("CNY");
        request.setAmount(amount);

        //用户信息
        Payer payer = new Payer();
        payer.setOpenid(openId.toString());
        request.setPayer(payer);

        log.info("请求参数 ===> {}" + request.toString());
        PrepayWithRequestPaymentResponse response = null;

        try {
            // response包含了调起支付所需的所有参数，可直接用于前端调起支付
            response = service.prepayWithRequestPayment(request);
        } catch (Exception e) {
            log.error("请求下单失败,错误信息" + e.getMessage());
            throw new RuntimeException("请求下单失败,错误信息" + e.getMessage());
        }

        //处理返回值
        assert response != null;
        String packageVal = response.getPackageVal();
        String prepayId = packageVal;

上述代码中，首先拿到配置信息config，然后调用JsapiServiceExtension service = new JsapiServiceExtension.Builder().config(config).build(); 这个是sdk提供的api，接下来组装好参数之间向微信发起请求，请求的代码段response = service.prepayWithRequestPayment(request); 在prepayWithRequestPayment方法中调用了String prepayId = this.jsapiService.prepay(request).getPrepayId(); 在prepay方法中才是真正的发起请求，重点来看下请求的代码段：

HttpRequest httpRequest = (new HttpRequest.Builder()).httpMethod(HttpMethod.POST).url(requestPath).headers(headers).body(this.createRequestBody(request)).build();
HttpResponse<PrepayResponse> httpResponse = this.httpClient.execute(httpRequest, PrepayResponse.class);

在execute方法中又调用了如下代码，和下载证书的接口调用是一样的。

 HttpRequest innerRequest =
        new Builder()
            .url(httpRequest.getUrl())
            .httpMethod(httpRequest.getHttpMethod())
            .headers(httpRequest.getHeaders())
            .addHeader(AUTHORIZATION, getAuthorization(httpRequest))
            .addHeader(USER\_AGENT, getUserAgent())
            .body(httpRequest.getBody())
            .build();
    OriginalResponse originalResponse = innerExecute(innerRequest);       
    validateResponse(originalResponse);

重点来关注Authorization，的组成如下：

Authorization: 认证类型签名信息

具体组成为：
认证类型: 目前为WECHATPAY2-SHA256-RSA2048
签名信息
发起请求的商户（包括直连商户、服务商或渠道商）的商户号mchid
商户API证书序列号serial_no，用于声明所使用的证书
请求随机串nonce_str
时间戳timestamp
签名值signature

示例如下：

‘Authorization: WECHATPAY2-SHA256-RSA2048 mchid=“1900009191”,nonce_str=“593BEC0C930BF1AFEB40B4A08C8FB242”,signature=“uOVRnA4qG/MNnYzdQxJanN+zU+lTgIcnU9BxGw5dKjK+VdEUz2FeIoC+D5sB/LN+nGzX3hfZg6r5wT1pl2ZobmIc6p0ldN7J6yDgUzbX8Uk3sD4a4eZVPTBvqNDoUqcYMlZ9uuDdCvNv4TM3c1WzsXUrExwVkI1XO5jCNbgDJ25nkT/c1gIFvqoogl7MdSFGc4W4xZsqCItnqbypR3RuGIlR9h9vlRsy7zJR9PBI83X8alLDIfR1ukt1P7tMnmogZ0cuDY8cZsd8ZlCgLadmvej58SLsIkVxFJ8XyUgx9FmutKSYTmYtWBZ0+tNvfGmbXU7cob8H/4nLBiCwIUFluw==”,timestamp=“1554208460”,serial_no=“1DDE55AD98ED71D6EDD4A4A16996DE7B47773A8C”’

以上就是签名的过程，使用商户私钥签名，签名后之间发送到了微信平台，所以小程序统一下单，并没有加密的操作，只有签名的操作。同样微信同步响应后，也需要在商户侧进行验签。

sdk中验签的代码段如下：

 String timestamp = responseHeaders.getHeader(WECHAT\_PAY\_TIMESTAMP);       
    try  {
      Instant responseTime = Instant.ofEpochSecond(Long.parseLong(timestamp)); 
      // 拒绝过期请求
      if (Duration.between(responseTime, Instant.now()).abs().toMinutes() 
          >= RESPONSE\_EXPIRED\_MINUTES) { 
        throw new IllegalArgumentException(
            String.format(
                "Validate http response,timestamp[%s] of httpResponse is expires, " 
                    + "request-id[%s]", 
                timestamp, responseHeaders.getHeader(REQUEST\_ID)));
      }
    } catch (DateTimeException | NumberFormatException e) { 
      throw new IllegalArgumentException(
          String.format(
              "Validate http response,timestamp[%s] of httpResponse is invalid, request-id[%s]", 
              timestamp, responseHeaders.getHeader(REQUEST\_ID)));
    }


**自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。**

**深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

**因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。**
![img](https://img-blog.csdnimg.cn/img_convert/830cafb8da4dfc787dfc849da2a59948.png)
![img](https://img-blog.csdnimg.cn/img_convert/767e15f139a25b9f647707c7450f6961.png)
![img](https://img-blog.csdnimg.cn/img_convert/080de957f2b045bbf914baded78aa33f.png)
![img](https://img-blog.csdnimg.cn/img_convert/7be2b6c53444ac8d4e49adb6511a8219.png)
![img](https://img-blog.csdnimg.cn/img_convert/d4d992090a810dcfce6ef977303dd10c.png)
![img](https://img-blog.csdnimg.cn/img_convert/f697f53f25b4a18e89443609b04402df.png)

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！**

**由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新**

**如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）**
![img](https://img-blog.csdnimg.cn/img_convert/811858bba21c308c2de78c4d6a0147e2.png)



## 写在最后

**在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。**


需要完整版PDF学习资源私我





**一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
![img](https://img-blog.csdnimg.cn/img_convert/328b3a5e55d13aee74ad3eab9bb7efcf.png)





## 写在最后

**在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。**


需要完整版PDF学习资源私我





**一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
[外链图片转存中...(img-8wNQWjwq-1712916244504)]

Java最新笔试

关注

4
点赞
踩
3

收藏

觉得还不错? 一键收藏
0
评论
第五节、项目支付功能实战-证书获取、微信支付集成初始化配置、sdk统一下单、api安全源码解读_微信支付获取平台证书

（1）商户侧包装商户信息：商户号、商户公钥、商户私钥等信息，并将请求的数据进行签名。将签名和公钥、时间戳、随机数等信息打包成token放到请求头部发送至微信平台侧。（2）微信测收到请求后获取到认证token，并解析出商户公钥和明文信息，对数据进行验签。同时使用APIv3密钥将证书进行加密同步返回给商户侧。（3）商户侧收到微信侧的响应数据后，从响应数据解密出证书，应答报文解密后，生成X.509证书对象，也就是将证书从String转为X509Certificate。（4）验证证书的有效性。
复制链接

扫一扫