支付是一个安全等级很高的场景，系统间交互的每一条数据的泄露都有可能造成及其大的损失。因此支付时系统间交互的每一条数据都会采取加密措施。这里梳理一下支付宝支付时用到的加密规则，请大家参考。
图片来自 Pexels
什么是签名?
在了解签名前，先回顾一下支付的交互流程。如上图所示，支付的过程中可以大概分为六个步骤：
这 6 个步骤中，最为重要的是步骤 2 和步骤 6。拆解如下：
商家服务器和支付宝服务器交互的过程中传输的信息异常敏感，所以，在交互时必须防止中间人对于信息的篡改。例如步骤 2 将商品的金额改为 0，支付宝就误认为是转账 0 元。
数字签名解决了交互时这一安全问题。它可以验证一条消息或者文档的真实性。
在支付宝支付的接口中，有一个 sign 参数用来填写签名。这个签名作用是为了防止信息伪造。通过这种方式可以有效的防止消息在传递过程中被篡改。
签名实现原理
签名原理
数字签名是一个信息安全的保障，它的实现依赖于双方系统的密钥。
签名过程如下：
计算希望签名的文档的散列。不论输入文档的长度如何，输出长度总是固定的。比如，使用 SHA256 就是 256 位。
对结果散列和一些额外的元数据进行编码。比如，接收方需要知道你使用的散列算法，否则不能处理签名。
使用私钥加密编码过的数据，其结果就是签名，可以追加到文档中作为身份验证的依据。
验证签名(验签)：接收方接收文档并使用相同的散列算法独立计算文档散列。
接着，她使用公钥对消息进行解密，将散列解码出来，再确认使用的散列算法是否正确，解密出的散列是否与本地计算的相同。
非对称加密
支付宝采用 RSA 非对称加密对信息进行签名。非对称加密是由一个公钥和一个私钥组成，一般代码中命名为 public Key 和 private key。
非对称加密的特点是：私钥加密的信息只有公钥才能解密，公钥加密的信息只能有私钥才能解密。
一般会将私钥进行保留，开发时一般会放在配置文件中，安全级别和数据库账号密码一样。
公钥会交给其他系统，这样系统间交互时中间人不知道密钥的情况下，是无法破解交互的信息的。
发送方只要保证私钥不泄露，任何人发送给接收方的信息在签名验证时都无法匹配成功。
支付宝的实现签名的方式也大致如此，支付宝在信息交互的时候两个很重要的名词支付宝公钥和应用公钥，这两个秘钥总是让人混淆。
这是因为支付宝提供了两套 RSA 加密。一套是用来保证步骤 2 统一下单接口时的信息安全，另一套是用来保证步骤 6 回调时的信息安全。
如下图，步骤 2 商户服务器通过红色应用私钥(priv key 2)计算签名，支付宝通过红色应用公钥(pub key 2)进行验签。
步骤 6 支付宝服务器通过蓝色支付宝私钥(priv key 6)计算签名，商家通过蓝色支付宝公钥(pub key 6)验证签名。
了解了签名计算原理之后，再去管理平台设置 APP 信息的时候就游刃有余了，我以沙箱环境为例子。
如上图，说明使用 RSA2 加密方式，HASH 算法采用 SHA256。进入设置之后要设置应用公钥和保存支付宝公钥。
应用公钥和应用私钥，这两个需要自己生成一对，保证步骤 2 的安全。生成方式跳转支付宝开放平台开发助手。
支付宝公钥和支付宝私钥是支付宝提供的，私钥支付宝自己保留的，和自己服务器的应用私钥一样，人家不会提供出来。公钥复制下来用于在回调时进行签名的认证。
对称加密
签名虽然可以防止中间人的信息篡改，但是无法防止中间人信息查看。比如步骤 2 中，向支付宝发送的商品金额，中间人即可获取每天中该商家交易的金额。
信息在网络中传输感觉是一个虚无缥缈的过程，网络中信息有可能被不法分子进行拦截。
因此在支付的过程中，会推荐使用 HTTPS 协议进行交互，使得交互的信息加密传输。
而且，支付宝的很多接口还支持使用 AES 加密之后进行传输，使得信息更加安全。
AES 加密是一种对称加密算法，对称加密算法相对于非对称加密要简单一点。系统间只存在一个密钥，这个密钥可以用来加密也可以用来解密。
在与支付宝交互的信息可以通过 AES 加密。防止信息的泄露，官方对接口的解释如下：
AES 和 RSA 关系
AES 密钥是对接口请求和响应内容进行加密，密文无法被第三方识别，从而防止接口传输数据泄露。
RSA 密钥是对接口请求和响应内容进行签名，开发者和支付宝开放平台分别加签验签，以确认接口传输的内容没有被篡改。不论接口内容是明文还是密文，RSA 均可正常签名。
开发者可对请求参数先做 AES 加密，然后对密文进行 RSA 签名。
作者：叁滴水
编辑：陶家龙
支付宝支付密码到底是什么意思啊？
支付宝密码与淘宝登陆密码不一样的，一般在你申请淘宝账号的时候，你的支付宝密码跟淘宝账号密码是一样的，但是当你申请淘宝账号成功的时候，系统会自动提醒你要更改支付宝密码！如果不记得支付宝密码可以根据提示修改支付宝密码！支付宝密码是在你买东西--收到货之后--确认收货时需要支付卖家款项时输入的密码！（就相当于你要去ATM机取款时需要输入密码才能取到钱一个道理。）
支付宝密码是什么密码？？
就是进入支付宝的时候要用的密码很重要，建议不要同你邮箱一个密码，免得邮箱丢了以后造成损失进入支付宝以后还要设置一个支付密码 也建议不要一样，那是付款的最后屏障了
支付宝账户支付密码在哪里设置？
支付密码可以单独设置的，你是肯定设置过忘记了。 忘记了支付宝账户的支付密码： 您可以登录支付宝账户－我的支付宝－账户信息管理－银行账号管理，进入点击“忘记支付密码”的按钮，按提示输入您支付宝账户的邮箱地址，进入后按提示输入您的密码提示问题答案，就可以找回密码了。 如您输入的密码保护问题答案有误（或者忘记答案了），您可以选择是输入证件号码，选择输入正确的证件号码后，系统会发邮件到您的邮箱里，请您到邮箱中确认后再重新！！注意！！如输错密保或者证件号码总次数超过5次就不能再操作忘记密码的动作了 【3】密码提示问题的答案和证件号码都忘了或者输错密保或者证件号码输入总次数超过5次； 您必须提供身份证原件以及户籍证明（户口本(包含户口本第一页和本人页)，护照等任选一样）的原件彩色扫描件或数码照片。 淘宝工作人员收到核实后会帮您清空密码保护问题，之后您再通过点击“忘记密码”通过您的身份证号码来找回密码即可。 最后您登录进入您的支付宝账户－账户信息管理－设置密码保护问题，进入后根据提示操作重新设置密码保护问题。 ★！！强烈建议：通过手机来找回密码 登录支付宝账户－我的支付宝－手机服务－开通手机找回密码功能，下次您支付宝账户密码忘记您就可以通过手机来找回密码了。 ”
发表评论