# 概述

在微信支付APIV3的所有接口交互中，都需要對【接口請求】或【回調(diào)通知】進行SHA256 with RSA算法簽名計算，保證支付安全；并且也強烈建議對【響應】和【回調(diào)】進行驗簽（部分接口不需要響應驗簽），保證響應數(shù)據(jù)來自微信支付且未經(jīng)第三方篡改。對于常見的APIv3接口簽名錯誤的問題，提供【簽名驗簽工具】，模擬微信支付進行簽名驗簽。

下面介紹工具詳細操作指引，協(xié)助你進行簽名計算和簽名驗證。

# 1. 如何下載簽名驗簽工具

下載地址：下載簽名驗簽工具 (opens new window)

1.1 打開時個別用戶可能會提示：找不到MSVCR120.dll文件，需要額外下載一下該文件，放置安裝目錄即可。

1.2 功能界面

# 2. 如何使用簽名驗簽工具

微信支付在簽名計算和簽名驗證中使用基于非對稱密鑰的SHA256-RSA的數(shù)字簽名算法，利用公鑰和私鑰的配對關(guān)系實現(xiàn)加密和解密。私鑰用于加密數(shù)據(jù)，公鑰用于解密數(shù)據(jù)。由于私鑰的私密性，只有私鑰的擁有者才能生成有效的簽名，確保了信息的完整性和來源的可靠性。

下面列舉了微信支付常見場景的簽名/驗簽參數(shù)以及使用的證書：

# 3. 簽名驗證示例

# 3.1 微信支付APIv3接口

# 3.1.1 驗簽參數(shù)填寫

# 3.1.2 GET請求驗證示例（通過商戶單號查詢訂單狀態(tài)）

1GET  https://api.mch.weixin.qq.com/v3/pay/transactions/out-trade-no/{out_trade_no}?mchid={mchid}

簽名驗證示例：

# 3.1.3 非GET請求驗證示例(以JSAPI下單接口為例)

請求微信支付APIv3接口時，簽名參數(shù)示例：

1POST  https://api.mch.weixin.qq.com/v3/pay/transactions/jsapi

簽名驗證示例：

# 3.2 調(diào)起收銀臺

# 3.2.1 驗簽參數(shù)填寫

使用App支付、JSAPI支付和小程序支付時，下單成功后，需要對相關(guān)調(diào)起參數(shù)計算簽名，再通過JS SDK調(diào)起收銀臺。

調(diào)起收銀臺和請求APIv3接口時使用的簽名算法一致，主要的不同是需構(gòu)造出不同的簽名明文。

# 3.2.2 調(diào)起收銀臺驗證示例（App支付）

簽名驗證示例：

# 3.3 微信支付應答/回調(diào)

由于用于消息加密的微信支付平臺證書私鑰僅為微信支付側(cè)所持有，商戶無法獨立創(chuàng)建消息以進行回調(diào)驗證測試。因此，商戶僅能通過實際的線上應答/回調(diào)請求來獲取相應參數(shù)以完成測試。

# 3.3.1 驗簽參數(shù)填寫

# 3.3.2 微信通知回調(diào)驗證示例（支付通知）

以某次支付成功后支付回調(diào)通知HTTP 報文為例：

請求頭

1Content-Length: 923
2Wechatpay-Nonce: D4PJYH8323444WUNiUs5O1jorgGif5ykEs
3Wechatpay-Signature: ZTp6+tGGBDoh+6dnG9fFQFStlBqgtqozfACJ2bwHKB6yRn0qIaIgWUcT72Ylhyjzh9c3nvTG2xbeSyY4TclAVbSz4z2aLnR6h0VBXhDxIqcuR+m1lVed9WcE0Yebb496gh7vctrRtJXTb+wZ6pdtqJ+Z/XqZn/rz7o16IQIxdHrBnIotkEzJ56stwPsrcuOf/dQOY3enkv3cfMSLRfMkto70xfzIYu+Hr7M5FIbSiMviIgPp+gvF4O0BsEXxSYTIuTQ4GISYlLplirv4tNVCqcZEB5Mb/vK0xWtO0oIEAPwA8Y5qqVAj6FPdPPaCxGqbdR6Qmvf55N+KRWisfA6RLQ==+p4VrmfWA8cRt3WiR+iOB/kSrWCbF+K2WhvhhWJSmrtaGy+5Sig3OSw+e+H38go6fc33ijr7p+l3xihMKSkU4r3YgluixXt/GVhxMCiFF5THj/VMyZuT4o3BE46eZpp7RMovEcNRpI6CF5TseuXa87P+u56Lk8yvqOB2+Qy3Nf0aiezbAktr/wXP4mMh0ceB1g5Yv2Hk5wzERM2dZwogzyncOMef0BeebTwadR/OxPlbr7HyI816SJdefQUIszdFXEOo3xgR8UnzyXXX6NU/mnreGVLnC9U3Or8Sc6g=
4Wechatpay-Timestamp: 1724231603
5Wechatpay-Serial: 5157F09EFDC960DE15EBE81A47057A7232F1B8E1
6Wechatpay-Signature-Type: WECHATPAY2-SHA256-RSA2048
7Connection: keep-alive
8Content-Type: application/json
9User-Agent: Mozilla/4.0

請求體

1{"id":"da2b8a7f-dad3-5f69-b5eb-2446b94543","create_time":"2024-08-16T15:00:03+08:00","resource_type":"encrypt-resource","event_type":"TRANSACTION.SUCCESS","summary":"支付成功","resource":{"original_type":"transaction","algorithm":"AEAD_AES_256_GCM","ciphertext":"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","associated_data":"transaction","nonce":"Oiyu5riw0HOJ"}}

驗簽參數(shù)

簽名驗證示例：

# 4 生成簽名示例

除了驗簽，我們還可以通過簽名/驗簽工具，直接生成對應明文的簽名值。因為SHA256和RSA的算法都是固定的，所以使用同樣的私鑰對同樣的明文（簽名串）計算后得到的簽名值是相同的。

1. 驗證證書匹配關(guān)系。
   我們可以用私鑰簽名后生成簽名值，公鑰驗簽，根據(jù)結(jié)果判斷使用的簽名證書apiclient_key.pem（私鑰）和驗簽證書apiclient_cert.pem（公鑰）是否匹配，驗證代碼計算簽名的過程是否正確。
2. 校驗請求簽名的正確性。
   工具生成后的簽名值，可以用于直接去請求接口，調(diào)試校驗自己代碼請求時使用的各參數(shù)和工具中計算簽名時使用的各參數(shù)是否一致。

# 4.1 驗證證書匹配關(guān)系

對于有多套有效商戶API證書的商戶，請求接口時簽名私鑰文件apiclient_key.pem和證書序列號容易傳錯，但是無法確定自己使用的是否為同一套公私鑰，可以使用該工具進行驗證。

也可使用 證書查看工具 (opens new window) 查看商戶API證書公鑰apiclient_cert.pem的證書序列號進行輔助確認。

# 4.2 校驗請求簽名的正確性

您可以在工具上填入指定的參數(shù)，生成請求簽名，以及校驗請求簽名的正確性。生成簽名示例參考 請求參數(shù)里帶Body參數(shù)(包體參數(shù)），如何計算簽名

1. 按接口規(guī)則構(gòu)建明文/驗簽串，通過簽名/驗簽工具用apiclient_key.pem私鑰證書生成簽名signature
2. 再根據(jù)Authorization的組成規(guī)則，結(jié)合驗簽串的內(nèi)容和生成的signature，構(gòu)建一個Authorization字符串，可以直接使用Authorization去請求接口。