网站集成支付宝怎么走？开放平台建应用与RSA2证书及异步验签咋辨不串同步跳转？

2026-08-28 17:28:32 华商亲子网

网站集成支付宝不是把一段“收款二维码”贴页面就完事，而是在支付宝开放平台建应用、配密钥、服务端调下单接口、前端跳收银台、后端收异步通知验签入账的完整闭环。电脑网站场景走的就是 alipay.trade.page.pay(统一收单下单并支付页面接口)，旧版“即时到账”早已停维，新项目别再抄老博客。

🏢 接入前：账号与应用底座

用企业/个体户支付宝账号登录 open.alipay.com，入驻开放平台选“自研开发服务”，控制台建网页/移动应用，过审拿 APPID;

商家中心签约“电脑网站支付”产品权限;

下载“支付宝开放平台密钥工具”，选证书加签、RSA2(SHA256withRSA)，生成应用私钥+CSR，上传 CSR 换回应用公钥证书、支付宝公钥证书、支付宝根证书——私钥只在你服务器，平台不存。

开发设置里填应用网关(notifyUrl 兜底接收异步消息的公网 HTTPS 地址)、服务器 IP 白名单、授权回调(仅用户信息授权用，纯收单可不填)。

💻 代码层：服务端预下单 → 前端跳收银台

后端用官方 SDK(Java/PHP/Python/Node 均有)初始化 DefaultAlipayClient，参数塞 app_id、应用私钥、支付宝公钥证书路径、gateway=https://openapi.alipay.com/gateway.do;调 alipay.trade.page.pay 传 out_trade_no(唯一订单号)、total_amount(元，两位小数)、subject、product_code=FAST_INSTANT_TRADE_PAY、return_url、notify_url;SDK 返回一段 HTML 表单，前端自动 POST 到支付宝网关，用户进收银台扫码付。

🔔 结果认定：异步通知是唯一真相

return_url(同步跳转)：用户付完浏览器跳回你页面，仅做“支付成功”展示，绝不能作为记账依据——用户关页面、网络断就丢;

notify_url(异步通知)：支付宝 POST 过来，携带 sign，服务端必须用 SDK 的验签方法+支付宝公钥证书验签，再比对 app_id/out_trade_no/total_amount 一致、trade_status=TRADE_SUCCESS 才改订单，且同订单号幂等处理(支付宝会重试 24 小时);

拿不准就主动调 alipay.trade.query 查单，不依赖通知。