上一篇文章講了支付寶iOS SDK加密解密的邏輯，主要是從客戶端開發的角度分析。這篇文章會根據支付寶服務端php demo，來分析服務端的加密解密流程。
按照支付的場景，當用戶支付完成后，客戶端的邏輯就執行完了。這個時候支付寶會回調商家設置的notifyURL，這個值是在客戶端設置的。
order.notifyURL = @"http://www.xxx.com"; //回調URL
這個url是商品自己的服務端url，用來處理支付寶的回調。這個回調URL需要解決兩個問題：
- 證明請求是由支付寶發起的
- 證明請求的數據在傳輸過程中沒有被篡改
其實這兩個問題在上一篇文章里也已經遇到了，解決方案和上一篇文章也差不多，只不過這次角色對調了。
解決方案：
- 支付寶用自己的私鑰將特征碼加密后，將此數據發給商家服務器，服務器使用支付寶的公鑰對密文進行解密，如果解密成功可唯一確定這是用支付寶的私鑰加密的密文。
- 支付寶對商品數據做
SHA1簽名，得到一個和這個商品信息唯一相關的字符串，然后對這個字符串加密，然后將這個加密后的字符串給商戶服務器，商戶拿到商品信息和這個加密后的字符串后，首先解密，還原為SHA1簽名字符串，然后對商品信息進行SHA1簽名，對比這兩個SHA1簽名字符串，如果相等，那么這個商品一定沒有被篡改過。因為如果信息被篡改，那么這個SHA1簽名肯定不一樣；如果有人想要偽造這個SHA1簽名，又需要私鑰，所以這就保證了這個商品是支付寶發的。
原理清楚了，我們看看支付寶提供的php demo是怎么具體處理的。
//notify.php
//計算得出通知驗證結果
$alipayNotify = new AlipayNotify($alipay_config);
if($alipayNotify->getResponse($_POST['notify_id']))//判斷成功之后使用getResponse方法判斷是否是支付寶發來的異步通知。
{
if($alipayNotify->getSignVeryfy($_POST, $_POST['sign'])) {//使用支付寶公鑰驗簽
這里通過調用getSignVeryfy，用支付寶公鑰驗簽
//alipay_notify.class.php
/**
* 獲取返回時的簽名驗證結果
* @param $para_temp 通知返回來的參數數組
* @param $sign 返回的簽名結果
* @return 簽名驗證結果
*/
function getSignVeryfy($para_temp, $sign) {
//除去待簽名參數數組中的空值和簽名參數
$para_filter = paraFilter($para_temp);
//對待簽名參數數組排序
$para_sort = argSort($para_filter);
//把數組所有元素，按照“參數=參數值”的模式用“&”字符拼接成字符串
$prestr = createLinkstring($para_sort);
$isSgin = false;
switch (strtoupper(trim($this->alipay_config['sign_type']))) {
case "RSA" :
$isSgin = rsaVerify($prestr, trim($this->alipay_config['alipay_public_key']), $sign);
break;
default :
$isSgin = false;
}
return $isSgin;
}
這里通過rsaVerify($data, $alipay_public_key, $sign)完成驗簽，$data是待簽名數據，它是把_POST數組所有元素，按照“參數=參數值”的模式用“&”字符拼接成字符串，也就是所有的商品參數。$alipay_public_key是支付寶的公鑰字符串，$sign是要要校對的的簽名結果，它的值是通過$_POST['sign']獲取的。函數實現如下
/**
* RSA驗簽
* @param $data 待簽名數據
* @param $alipay_public_key 支付寶的公鑰字符串
* @param $sign 要校對的的簽名結果
* return 驗證結果
*/
function rsaVerify($data, $alipay_public_key, $sign) {
//以下為了初始化私鑰，保證在您填寫私鑰時不管是帶格式還是不帶格式都可以通過驗證。
$alipay_public_key=str_replace("-----BEGIN PUBLIC KEY-----","",$alipay_public_key);
$alipay_public_key=str_replace("-----END PUBLIC KEY-----","",$alipay_public_key);
$alipay_public_key=str_replace("\n","",$alipay_public_key);
$alipay_public_key='-----BEGIN PUBLIC KEY-----'.PHP_EOL.wordwrap($alipay_public_key, 64, "\n", true) .PHP_EOL.'-----END PUBLIC KEY-----';
$res=openssl_get_publickey($alipay_public_key);
if($res)
{
$result = (bool)openssl_verify($data, base64_decode($sign), $res);
}
else {
echo "您的支付寶公鑰格式不正確!"."<br/>"."The format of your alipay_public_key is incorrect!";
exit();
}
openssl_free_key($res);
return $result;
}
這里通過openssl_verify()，完成驗簽。
openssl_verify() verifies that the signature is correct for the specified data using the public key associated with pub_key_id. This must be the public key corresponding to the private key used for signing.
如果驗簽成功，執行業務邏輯代碼，比如訂單狀態變更等；否則，提示錯誤信息。
總結：
通過RSA加密，支付寶保證了數據的安全傳遞。類似地，如果需要實現客戶端和服務器加密傳輸，我們可以采用類似的策略，來保證數據的安全傳輸。
