android支付宝支付集成研究

APP支付接口
主要流程如下图，步骤将一一解读：

特别注意：
• 构造交易数据并签名（orderString）必须在商户服务端完成，商户的应用私钥绝对不能保存在商户APP客户端中，也不能从服务端下发。
• 同步返回的数据，只是一个简单的结果通知，商户确定该笔交易付款是否成功需要依赖服务端收到支付宝异步通知的结果进行判断。
• 商户系统接收到通知以后，必须通过验签（验证通知中的sign参数）来确保支付通知是由支付宝发送的。建议使用支付宝提供的SDK来完成，深入了解验签规则参考异步通知验签。

如何集成服务端SDK
为了帮助开发者调用开放接口，我们提供了开放平台服务端SDK，包含JAVA、PHP和.NET三语言版本，封装了签名&验签、HTTP接口请求等基础功能。请先下载对应语言版本的SDK并引入您的开发工程。
SDK调用前需要进行初始化，代码示例如下：
AlipayClient alipayClient = new DefaultAlipayClient(URL, APP_ID, APP_PRIVATE_KEY, FORMAT, CHARSET, ALIPAY_PUBLIC_KEY, SIGN_TYPE);
关键参数说明：
配置参数

以下为图中的几个超链接 ：
https://openapi.alipay.com/gateway.do、 创建应用并获取APPID、配置密钥、
流程图解析如下:
1、服务端生成订单信息OrderStr：（对应2、3步）
服务端：

 //实例化客户端
    AlipayClient alipayClient = new DefaultAlipayClient("https://openapi.alipay.com/gateway.do", APP_ID, APP_PRIVATE_KEY, "json", CHARSET, ALIPAY_PUBLIC_KEY, "RSA2");
//实例化具体API对应的request类,类名称和接口名称对应,当前调用接口名称：alipay.trade.app.pay 
    AlipayTradeAppPayRequest request = new AlipayTradeAppPayRequest();
    AlipayTradeAppPayModel model = new AlipayTradeAppPayModel();
    model.setBody("我是测试数据");
    model.setSubject("App支付测试Java");
    model.setOutTradeNo(outtradeno);
    model.setTimeoutExpress("30m");
    model.setTotalAmount("0.01");
    model.setProductCode("QUICK_MSECURITY_PAY");
    request.setBizModel(model);
    request.setNotifyUrl("商户外网可以访问的异步地址");
    try {
        //这里和普通的接口调用不同，使用的是sdkExecute
        AlipayTradeAppPayResponse response = alipayClient.sdkExecute(request);
        System.out.println(response.getBody());
        //就是orderString 可以直接给客户端请求，无需再做处理。
    } catch (AlipayApiException e) {
        e.printStackTrace();
    }

orderString格式如下：
app_id=2015052600090779&biz_content=%7B%22timeout_express%22%3A%2230m%22%2C%22seller_id%22%3A%22%22%2C%22product_code%22%3A%22QUICK_MSECURITY_PAY%22%2C%22total_amount%22%3A%220.02%22%2C%22subject%22%3A%221%22%2C%22body%22%3A%22%E6%88%91%E6%98%AF%E6%B5%8B%E8%AF%95%E6%95%B0%E6%8D%AE%22%2C%22out_trade_no%22%3A%22314VYGIAGG7ZOYY%22%7D&charset=utf-8&method=alipay.trade.app.pay&sign_type=RSA2&timestamp=2016-08-15%2012%3A12%3A15&version=1.0&sign=MsbylYkCzlfYLy9PeRwUUIg9nZPeN9SfXPNavUCroGKR5Kqvx0nEnd3eRmKxJuthNUx4ERCXe552EV9PfwexqW%2B1wbKOdYtDIb4%2B7PL3Pc94RZL0zKaWcaY3tSL89%2FuAVUsQuFqEJdhIukuKygrXucvejOUgTCfoUdwTi7z%2BZzQ%3D

2、Android端接受订单信息OrderStr，提交给支付宝服务端，然后会返回结果 ：对应第4、5、6、7、8步
Android端：

    Runnable payRunnable = new Runnable() {
        @Override
        public void run() {
            PayTask alipay = new PayTask(DemoActivity.this);
            String result = alipay.payV2(orderInfo,true);
            //调用支付宝服务端方法，并且获得返回结果
            Message msg = new Message();
            msg.what = SDK_PAY_FLAG;
            msg.obj = result;
            mHandler.sendMessage(msg);
        }
    };


// 必须异步调用
    Thread payThread = new Thread(payRunnable);
    payThread.start();


    private Handler mHandler = new Handler() {
        public void handleMessage(Message msg) {
            Result result = new Result((String) msg.obj);
            //提示用户仅仅是支付完成了，支付成功与否还要传到服务端进行校验

        };
    };

Result结构示例如下：

参数解释如下：

3、将支付宝服务端返回结果传到服务端进行同步通知验证（对应9、10、11步）或则进行异步验证（对应13、14步）

这里重点说明同步验证，如下：
在返回数据resultStatus为9000的情况下，解析result结果，提取验证签名的相关核心数据：
第一步： 提取alipay_trade_app_pay_response字段值，其代表签名原始字符串，上述示例格式如下：

{“code”:”10000”,”msg”:”Success”,”total_amount”:”9.00”,”app_id”:”2014072300007148”,”trade_no”:”2014112400001000340011111118”,”seller_id”:”2088111111116894”,”out_trade_no”:”70501111111S001111119”}

第二步： 提取sign_type字段值，其代表签名类型，上述示例格式如下：
RSA2
第三步： 提取sign字段值，其代表签名结果，上述示例格式如下：

NGfStJf3i3ooWBuCDIQSumOpaGBcQz+aoAqyGh3W6EqA/gmyPYwLJ2REFijY9XPTApI9YglZyMw+ZMhd3kb0mh4RAXMrb6mekX4Zu8Nf6geOwIa9kLOnw0IMCjxi4abDIfXhxrXyj********

第四步： 验证签名是否合法：

使用各自语言对应的SHA256WithRSA签名验证函数，传入签名的原始字符串、支付宝公钥、签名类型RSA、签名字符进行合法性验证。

第五步： 在第四步签名验证通过后，必须严格按照如下的描述校验通知参数的合法性：

1、商户需要验证该通知数据中的out_trade_no是否为商户系统中创建的订单号；2、判断total_amount是否确实为该订单的实际金额（即商户订单创建时的金额）；3、校验通知中的seller_id（或者seller_email) 是否为out_trade_no这笔单据对应的操作方（有的时候，一个商户可能有多个seller_id/seller_email）；4、验证app_id是否为该商户本身。上述1、2、3、4有任何一个验证不通过，则表明同步校验结果是无效的，只有全部验证通过后，才可以认定买家付款成功。

4、最后一步就是将服务端进行验证后的结果发给客户端，提示客户端用户是否支付成功