支付宝签名验证支付宝服务器向商家服务器发送音讯签名验证官网文档在对接支付宝领取时无论何种领取，领取实现后支付宝都会有一个异步的回调告诉，此时咱们就须要解决其中的音讯来更新订单状态。因为接口是对外开放的谁都能申请，所以须要留神接口平安，支付宝给咱们发送的音讯会带有签名，避免音讯被篡改
1. 当咱们收到音讯是首先就须要对内容进行签名验证支付宝官网并没有提供Go的sdk// CheckSign 校验签名// @Description: 校验异步告诉签名// @param req_body 申请body a=1&b=2// @param public_key 支付宝公钥// @return bool 后果// @return errorfunc CheckSign(req_body string, public_key string) (bool, error) { var sign string input := map[string]string{} //解析查问字符串 val, _ := url.ParseQuery(req_body) for k, v := range val { if k == "sign" || k == "sign_type" { if k == "sign" { sign = v[0] } continue } //URL解码 value, _ := url.QueryUnescape(v[0]) input[k] = value } return checkSign(input, sign, utils.GetPublicKey(public_key))}// 自定义排序type kv struct { Key string Value string}type SortKv []kvfunc (s SortKv) Len() int { return len(s)}func (s SortKv) Less(i, j int) bool { return s[i].Key < s[j].Key}func (s SortKv) Swap(i, j int) { s[i], s[j] = s[j], s[i]}// 解决数据验证签名func checkSign(input map[string]string, sign string, public_key string) (bool, error) { var ListKv SortKv for key, val := range input { ListKv = append(ListKv, kv{ key, val, }) } sort.Sort(ListKv) var sign_str string for _, v := range ListKv { sign_str += v.Key + "=" + v.Value + "&" } sign_str = strings.TrimRight(sign_str, "&") fmt.Println("---------------------------------") fmt.Println(fmt.Sprintf("签名字符串：%s", sign_str)) fmt.Println(fmt.Sprintf("sign：%s", sign)) fmt.Println(fmt.Sprintf("public_key：%s", public_key)) return utils.Rsa2PubCheckSign(sign_str, sign, public_key, crypto.SHA256)}// rsa2公钥签名验证func Rsa2PubCheckSign(signContent, sign, publicKey string, hash crypto.Hash) (res bool, err error) { hashed := sha256.Sum256([]byte(signContent)) pubKey, err := ParsePublicKey(publicKey) if err != nil { return false, err } sig, _ := base64.StdEncoding.DecodeString(sign) err = rsa.VerifyPKCS1v15(pubKey, hash, hashed[:], sig) if err != nil { return false, err } return true, nil}// 组装公钥func GetPublicKey(pubkey string) string { PREFIX := "-----BEGIN PUBLIC KEY-----" SUFFIX := "-----END PUBLIC KEY-----" return PREFIX + "\n" + pubkey + "\n" + SUFFIX}// ParsePublicKey 解析公钥func ParsePublicKey(publicKey string) (*rsa.PublicKey, error) { block, _ := pem.Decode([]byte(publicKey)) if block == nil { return nil, errors.New("公钥信息谬误！") } pubKey, err := x509.ParsePKIXPublicKey(block.Bytes) if err != nil { return nil, err } return pubKey.(*rsa.PublicKey), nil}2. 签名能够避免音讯被篡改然而不是阻止重放攻打，所以咱们还须要验证内容的合法性以下是官网文档原文1. 商家须要验证该告诉数据中的 out_trade_no 是否为商家零碎中创立的订单号。2. 判断 total_amount 是否的确为该订单的理论金额（即商家订单创立时的金额）。3. 校验告诉中的 seller_id（或者 seller_email ) 是否为 out_trade_no 这笔单据的对应的操作方（有的时候，一个商家可能有多个seller_id/seller_email）。4. 验证 app_id 是否为该商家自身。