AlipaySDKNet 是 .NET 平台下用于对接支付宝支付的官方 SDK。Alipay SDK for .NET 让您不用复杂编程即可访问支付宝开放平台开放的各项能力,SDK可以自动帮您满足能力调用过程中所需的证书校验、加签、验签、发送HTTP请求等非功能性要求。其 Nuget 链接如下:
https://www.nuget.org/packages/AlipaySDKNet.Standard
GitHub 开源地址为:
https://github.com/alipay/alipay-sdk-net-all
要在程序中集成支付宝支付其实并不困难,只要谨记 .NET 程序要用的私钥格式是 PKCS1 且不把参数搞混,问题应该都不大。
但是今天,却遇到了障碍:之前正常工作的代码在更换了账户配置(APPID、私钥等)之后竟然报错了。
Aop.Api.AopException: RSA签名遭遇异常,请检查私钥格式是否正确。Index was outside the bounds of the array.
根据报错时的堆栈信息,该错误来自于方法:
Aop.Api.Util.Asymmetric.RSAEncryptor.BuildRSAServiceProvider
本着先从自己找原因的原则从头到尾检查了配置参数:PKCS1 格式是对的、私钥是对的、公钥是对的甚至点鼠标的手势也是对的。
尝试了 Java 语言的 DEMO (其采用的是 PKCS8 格式),这套参数也是可以正常工作的那就说明密钥本身是没问题的。
无奈之下只能通过 GitHub 将代码克隆到本地并引入项目开始调试。找到报错位于 RSAEncryptor 的 BuildRSAServiceProvider 方法:
https://github.com/alipay/alipay-sdk-net-all/blob/98fc187884d628d4268504bc0b93eb9a1aae417a/AlipaySDKNet.Standard/Util/Asymmetric/RSAEncryptor.cs#L234
这个方法的作用是读取 PKCS1 格式私钥并构建 RSACryptoServiceProvider ,但转换过程略显过时。其实,.NET 在 netstandard-2.1 时已经提供了名为 ImportRSAPrivateKey 的方法用于导入密钥,这段代码可以直接被替换掉。
首先将 AlipaySDKNet.Standard 的目标框架修改为 netstandard2.1 ,接着使用以下代码替换掉 BuildRSAServiceProvider 方法的实现:
private static RSACryptoServiceProvider BuildRSAServiceProvider(byte[] privateKey)
{
var rsa = new RSACryptoServiceProvider();
rsa.ImportRSAPrivateKey(privateKey, out _);
return rsa;
}
再次编译项目,已经可以正常下单使用了。
问题找到了,然后呢?
换一个密钥是最简单的方案。想要向阿里反馈这个问题,却发现该仓库并未开放 Issues 功能。我也想退而求其次,不要在项目中引入整个 SDK 的源代码(它太大了,有一万五千多个文件)而只对 SDK 打补丁。但我发现这很难做到:DefaultAopClient 的实现看上去很复杂,而且 BuildRSAServiceProvider 被定义为了一个私有的静态方法。
如何复现这个问题?
我当然不能把我现在使用的私钥共享出来,但我做了一些工作又生成了一个会报错的私钥(PKCS1 格式):
MIIEowIBAAKCAQEApkzj3sk+hpd2e0d8BUbDkuL6khflsJLzoQwGq25mm5fn2MDN3MPl/h0/XtWoM6OOIigvQFFj295UxN/I4oGrWL/oYA0g2MWlttLHPZ2ivhCSSizw9OJtAg8NgmkDM8dygAhyUQja2ZoACWrNrQa4DC10GXpRi/85ZGMEBcKZnUwlwYan31rVtgdULZ0l+W3yiWYtMaGKoT/BWQZ3bjUzCU/OxcuCK6Z/YUho65YxJa/zQdTmduxW7ghgGILqvoyh1PS1Zb+JeCJ3t6rxsoCDfKV7ldMUrWYKjMewvj6JritxgsmF/E80f12mMqDimLhJX8nTqQQ2kajEazkvZQNxaQIDAQABAoIBAACq2FNBjX2ux+vwun+u7AP/4y+I5wQRYubnjHNNqx2+u1B0XZ8gLiEZ7vIre1RRuLVMYfwpF3R/bOmpWD4IdS6S/pS8GMCl8mdMaz5FDq0ileO0UHc7HWLfupcmYrvndf8riYHnvjEXXB6tjgu+tiheWlPr2L3uFUXg29hGEqW98dSffYIWrdYOcFa1wWnR6w+FOEXqGcAppKKADosHCqA8S5M+tPcGbZ/PIJwcJEx+GsXsy1aoslB6hgAyJOmnY2w2o5V30I1QzhgiwCGAHK4pNABRtXwzGnSjfzdkrUb0irytvFrHj/RMuYHFaEJ8cSnc/c2sh87Zia5e6H6I+00CgYEA1d6oRlMCpfleUee0jl7KsGnqdoquipC7vNVjfPsSuGbXy9NRt/N4rSymfHsQA8zExmHfQjtk3kS64HXkUZRVrACNCLM6mgcEEshixRntaZJdA+RruPb45JBkhnjtmmQJ4BY06GTqtsflnaPJEv5wvReBlByThOcHI+fcOeUYfGcCgYEAxw9VAZfXxeVGT/+7skxxu1568OyrS7tysaMVy6Uufztd6hY3ZT+VV1QFxj8fku9miVFLCvhU4Z3HrahRmGNZ7XT0Cgm8ZhFhKKR7gQlAMAmLeSGgAUbjQ3BEKG5NXKqsFpAisoEV5/MoZ3eQuVGQ5JApbKZlhIVOX2Kq9gqmAa8CgYEAhfT9n3a1DPKBsnmX7SjQeekNc4xvwNjgzmk19H1qf1fjSIanA7obVxTFfuix4j9q7Ps2lMyQ5GtWRetxw+tOMfryW4WvafSFB6K9wsj3nI2RdzOmiWcgBEGwxU2PPYn1aYdfQkSbgzr3xmJlOmFmifnkLroraC4wmbvLg/PL/3cCgYA25PKDSvV1HIIkY5jGVbBzhF2Q/SNL8jhx5lCHZVkKOzvt5wyFvmAXwhMJlbTGV4DGU4XHU65Mva8oI6fEx3kwM7Vs4zxyRU6u35Uzg3KRDMDKucwfLgZUPax+HdT1vhdQ7ZSz90csPPEif2WIxYaYkWzrCoQqZHy1b0dILK2U/wKBgFAmZrWiB1mLp8hdLp49Fctf+KKH16t6CkhEzh0s+ElaRcuLQ/+m5nGSxBbPm7QeLxZBD12ugnj0czcRPfjWDNDTHghnXr+DNsVuQ8oUdrCQpwHgHpoeOzZaoX1RSSRceuZOiRaDJM/rf1CGi/LcXIE0YvlJF/eDCTlx6cOTFn7T
你也可以使用以下代码自己测试。该代码循环100次,并使用支付宝 SDK 提供的方法对密钥进行转换:
for (int i = 0; i < 100; i++)
{
var rsa = RSA.Create();
var keys = rsa.ExportRSAPrivateKey();
try
{
BuildRSAServiceProvider(keys);
}
catch (Exception ex)
{
Console.WriteLine(Convert.ToBase64String(keys));
}
}
笔者的测试结果是:100 次生成大概会有 2-4 次遇到异常密钥。
如果你遇到了和笔者一样的问题,并且通读本文解决了你的问题。那么恭喜你,你大概就是天选之子,下班后去买彩吧,说不定能中。
后记
受制于笔者的知识浅薄,本文并没有找到 BuildRSAServiceProvider 不能正确加载私钥的根本原因,而是使用另一种方法规避了该问题。这让我更加坚信,即便是大厂的作品也不是完美无瑕。
简单总结一下:如果你遇到了本文所述的问题,那么就重置一下密钥吧。植发毕竟太贵了。