服务器签名文件,服务端签名

目标

签名方案只验证 服务端签名前的支付数据 和 tt.pay 发送到字节跳动后端的支付数据 的一致性(因而，具体字段有哪些，以及字段的值是否正确并不由签名验证)

生成签名规则

Key 筛选

去掉请求参数中的字节类型字段(如文件、字节流)、sign 与 risk_info 字段、value 为空的字段(某些接口请求参数中特殊标明不参与签名的字段也需要去掉)。

K-V 排序和拼接

把筛选后的 k-v 集合按照 key 的 ASCII 码升序排序，例如：a, a1, abc, abcd, abce, abd, b1, ba

k-v 按照 key=value 的格式链接，并且按照 key 排序使用 & 连接成一个字符串，生成待签名字符串

MD5 加签MD5(待签名字符串 + app_secret); // 待签名字符串 + app_secret 是字符串直接拼接，待签名字符串在前，中间没有连接符。

完整流程

例如下面是我们待验签的 orderInfo:{

app_id: '800000000001',

merchant_id: '1900000001',

timestamp: 1570694312,

sign_type: 'MD5',

out_order_no: '201900000000000001',

total_amount: 1,

product_code: 'pay',

payment_type: 'direct',

trade_type: 'H5',

version: '2.0',

currency: 'CNY',

subject: '测试订单',

body: '测试订单',

uid: '0000000000000001',

trade_time: 1570585744,

valid_time: 300,

notify_url: '',

risk_info: '{"ip":"120.230.0.0"}',

wx_type: 'MWEB',

wx_url: 'https://wx.tenpay.com/xxx',

alipay_url: 'app_id=2019000000000006&biz_content=xxxx'

}

则待签名字符串 unsigned_str 为：alipay_url=app_id=2019000000000006&biz_content=xxxx&app_id=800000000001&body=测试订单&currency=CNY&merchant_id=1900000001&out_order_no=201900000000000001&payment_type=direct&product_code=pay&sign_type=MD5&subject=测试订单&timestamp=1570694312&total_amount=1&trade_time=1570585744&trade_type=H5&uid=0000000000000001&valid_time=300&version=2.0&wx_type=MWEB&wx_url=https://wx.tenpay.com/xxx

若你的 app_secret 是 'a'，那么带入上述 unsigned_str，最终 MD5(unsigned_str + app_secret) 后签名字符串 signed_str 应为：0f1e3358a9898d7c4c6c23740251808a验证：你可以在你的验签方法里用上面的 orderInfo 和 app_secret 数据测试，验证与我们给出的 unsigned_str 和 signed_str 是否一致保持一致：通过上述方式生成签名 sign 之后，将该 sign 字段挂在 orderInfo 上并最终透传至前端 tt.pay，传递过程中请不要增删或修改任何字段(保持服务端签名前的支付数据和 tt.pay 发送到字节跳动后端的支付数据一致)，否则会导致签名检验不通过

签名代码示例(以 Node 为例)const crypto = require("crypto");

const createSign = (params, appSecret) => {

const paramKeys = Object.keys(params).sort();

let signStr = "";

paramKeys.forEach(key => {

let value = params[key];

// 空值，risk_info, sign 不参与签名

if (!value || ["risk_info", "sign"].indexOf(key) >= 0) {

return;

}

if (signStr.length > 0) {

signStr += "&";

}

if (typeof value === "object") {

value = JSON.stringify(value);

}

signStr += key + "=" + value;

});

signStr += `${appSecret}`;

console.log("signStr:", signStr);

const md5 = crypto.createHash("md5");

const sign = md5.update(signStr).digest("hex");

return sign;

};

签名验证失败排查方案服务端：服务端生成签名方式可能有误，请参考上方「完整流程」中的 orderInfo 与 app_secret 代入你的签名方法，验证与我们给出的预期 unsigned_str 和 signed_str 是否一致，不一致将导致签名验证失败

小程序端：请保证带有 sign 签名的 orderInfo 由服务端返回且与 tt.pay 中传入的 orderInfo 完全一致，不一致将导致签名验证失败

反馈：若上面两者已经确认无误，但签名验证依然无法通过，请在开发者社区反馈，反馈中请提供线上报 CD0025 失败订单的 unsigned_str

各语言签名实现

可参考以下语言 Demo 中签名的实现