WechatPay-API-v3
搜索文档…
签名生成
商户可以按照下述步骤生成请求的签名。在本节的最后，我们准备了多种常用编程语言的演示代码供开发者参考。
微信支付API v3要求商户对请求进行签名。微信支付会在收到请求后进行签名的验证。如果签名验证不通过，微信支付API v3将会拒绝处理请求，并返回
401 Unauthorized。准备
构造签名串
我们希望商户的技术开发人员按照当前文档约定的规则构造签名串。微信支付会使用同样的方式构造签名串。如果商户构造签名串的方式错误，将导致签名验证不通过。下面先说明签名串的具体格式。
签名串一共有五行，每一行为一个参数。行尾以
\n（换行符，ASCII编码值为0x0A）结束，包括最后一行。如果参数本身以\n结束，也需要附加一个\n。1
HTTP请求方法\n
2
URL\n
3
请求时间戳\n
4
请求随机串\n
5
请求报文主体\n
Copied!
我们通过在命令行中调用"获取微信支付平台证书"接口，一步一步向开发者介绍如何进行请求签名。按照接口文档，获取商户平台证书的URL为
https://api.mch.weixin.qq.com/v3/certificates，请求方法为GET，没有查询参数。第一步，获取HTTP请求的方法（
GET,POST,PUT等）1
GET
Copied!
第二步，获取请求的绝对URL，并去除域名部分得到参与签名的URL。如果请求中有查询参数，URL末尾应附加有'?'和对应的查询字符串。
1
/v3/certificates
Copied!
第三步，获取发起请求时的系统当前时间戳，即格林威治时间1970年01月01日00时00分00秒(北京时间1970年01月01日08时00分00秒)起至现在的总秒数，作为请求时间戳。微信支付会拒绝处理很久之前发起的请求，请商户保持自身系统的时间准确。
1
$ date +%s
2
1554208460
Copied!
1
$ hexdump -n 16 -e '4/4 "%08X" 1 "\n"' /dev/random
2
593BEC0C930BF1AFEB40B4A08C8FB242
Copied!
第五步，获取请求中的请求报文主体（request body）。
- 请求方法为
GET时，报文主体为空。 - 当请求方法为
POST或PUT时，请使用真实发送的JSON报文。 - 图片上传API，请使用
meta对应的JSON报文。
对于下载证书的接口来说，请求报文主体是一个空串。
第六步，按照前述规则，构造的请求签名串为：
1
GET\n
2
/v3/certificates\n
3
1554208460\n
4
593BEC0C930BF1AFEB40B4A08C8FB242\n
5
\n
Copied!
计算签名值
绝大多数编程语言提供的签名函数支持对签名数据进行签名。强烈建议商户调用该类函数，使用商户私钥对待签名串进行SHA256 with RSA签名，并对签名结果进行Base64编码得到签名值。
下面我们使用命令行演示如何生成签名。
1
$ echo -n -e \
2
"GET\n/v3/certificates\n1554208460\n593BEC0C930BF1AFEB40B4A08C8FB242\n\n" \
3
| openssl dgst -sha256 -sign apiclient_key.pem \
4
| openssl base64 -A
5
uOVRnA4qG/MNnYzdQxJanN+zU+lTgIcnU9BxGw5dKjK+VdEUz2FeIoC+D5sB/LN+nGzX3hfZg6r5wT1pl2ZobmIc6p0ldN7J6yDgUzbX8Uk3sD4a4eZVPTBvqNDoUqcYMlZ9uuDdCvNv4TM3c1WzsXUrExwVkI1XO5jCNbgDJ25nkT/c1gIFvqoogl7MdSFGc4W4xZsqCItnqbypR3RuGIlR9h9vlRsy7zJR9PBI83X8alLDIfR1ukt1P7tMnmogZ0cuDY8cZsd8ZlCgLadmvej58SLsIkVxFJ8XyUgx9FmutKSYTmYtWBZ0+tNvfGmbXU7cob8H/4nLBiCwIUFluw==
Copied!
设置HTTP头
微信支付商户API v3要求请求通过HTTP
Authorization头来传递签名。Authorization由认证类型和签名信息两个部分组成。1
Authorization: 认证类型 签名信息
Copied!
具体组成为：
- 1.认证类型，目前为
WECHATPAY2-SHA256-RSA2048
Authorization头的示例如下：（注意，示例因为排版可能存在换行，实际数据应在一行）1
Authorization: WECHATPAY2-SHA256-RSA2048 mchid="1900009191",nonce_str="593BEC0C930BF1AFEB40B4A08C8FB242",signature="uOVRnA4qG/MNnYzdQxJanN+zU+lTgIcnU9BxGw5dKjK+VdEUz2FeIoC+D5sB/LN+nGzX3hfZg6r5wT1pl2ZobmIc6p0ldN7J6yDgUzbX8Uk3sD4a4eZVPTBvqNDoUqcYMlZ9uuDdCvNv4TM3c1WzsXUrExwVkI1XO5jCNbgDJ25nkT/c1gIFvqoogl7MdSFGc4W4xZsqCItnqbypR3RuGIlR9h9vlRsy7zJR9PBI83X8alLDIfR1ukt1P7tMnmogZ0cuDY8cZsd8ZlCgLadmvej58SLsIkVxFJ8XyUgx9FmutKSYTmYtWBZ0+tNvfGmbXU7cob8H/4nLBiCwIUFluw==",timestamp="1554208460",serial_no="1DDE55AD98ED71D6EDD4A4A16996DE7B47773A8C"
Copied!
最终我们可以组一个包含了签名的HTTP请求了。
1
$ curl https://api.mch.weixin.qq.com/v3/certificates -H 'Authorization: WECHATPAY2-SHA256-RSA2048 mchid="1900009191",nonce_str="593BEC0C930BF1AFEB40B4A08C8FB242",signature="uOVRnA4qG/MNnYzdQxJanN+zU+lTgIcnU9BxGw5dKjK+VdEUz2FeIoC+D5sB/LN+nGzX3hfZg6r5wT1pl2ZobmIc6p0ldN7J6yDgUzbX8Uk3sD4a4eZVPTBvqNDoUqcYMlZ9uuDdCvNv4TM3c1WzsXUrExwVkI1XO5jCNbgDJ25nkT/c1gIFvqoogl7MdSFGc4W4xZsqCItnqbypR3RuGIlR9h9vlRsy7zJR9PBI83X8alLDIfR1ukt1P7tMnmogZ0cuDY8cZsd8ZlCgLadmvej58SLsIkVxFJ8XyUgx9FmutKSYTmYtWBZ0+tNvfGmbXU7cob8H/4nLBiCwIUFluw==",timestamp="1554208460",serial_no="1DDE55AD98ED71D6EDD4A4A16996DE7B47773A8C"'
Copied!
演示代码
计算签名的示例代码如下。
Java
PHP
.Net
1
import okhttp3.HttpUrl;
2
import java.security.Signature;
3
import java.util.Base64;
4
5
// Authorization: <schema> <token>
6
// GET - getToken("GET", httpurl, "")
7
// POST - getToken("POST", httpurl, json)
8
String schema = "WECHATPAY2-SHA256-RSA2048";
9
HttpUrl httpurl = HttpUrl.parse(url);
10
11
String getToken(String method, HttpUrl url, String body) {
12
String nonceStr = "your nonce string";
13
long timestamp = System.currentTimeMillis() / 1000;
14
String message = buildMessage(method, url, timestamp, nonceStr, body);
15
String signature = sign(message.getBytes("utf-8"));
16
17
return "mchid=\"" + yourMerchantId + "\","
18
+ "nonce_str=\"" + nonceStr + "\","
19
+ "timestamp=\"" + timestamp + "\","
20
+ "serial_no=\"" + yourCertificateSerialNo + "\","
21
+ "signature=\"" + signature + "\"";
22
}
23
24
String sign(byte[] message) {
25
Signature sign = Signature.getInstance("SHA256withRSA");
26
sign.initSign(yourPrivateKey);
27
sign.update(message);
28
29
return Base64.getEncoder().encodeToString(sign.sign());
30
}
31
32
String buildMessage(String method, HttpUrl url, long timestamp, String nonceStr, String body) {
33
String canonicalUrl = url.encodedPath();
34
if (url.encodedQuery() != null) {
35
canonicalUrl += "?" + url.encodedQuery();
36
}
37
38
return method + "\n"
39
+ canonicalUrl + "\n"
40
+ timestamp + "\n"
41
+ nonceStr + "\n"
42
+ body + "\n";
43
}
Copied!
1
// Authorization: <schema> <token>
2
$url_parts = parse_url($url);
3
$canonical_url = ($url_parts['path'] . (!empty($url_parts['query']) ? "?${url_parts['query']}" : ""));
4
$message = $http_method."\n".
5
$canonical_url."\n".
6
$timestamp."\n".
7
$nonce."\n".
8
$body."\n";
9
10
openssl_sign($message, $raw_sign, $mch_private_key, 'sha256WithRSAEncryption');
11
$sign = base64_encode($raw_sign);
12
13
$schema = 'WECHATPAY2-SHA256-RSA2048';
14
$token = sprintf('mchid="%s",nonce_str="%s",timestamp="%d",serial_no="%s",signature="%s"',
15
$merchant_id, $nonce, $timestamp, $serial_no, $sign);
Copied!
示例实现了一个HttpClient的
DelegatingHandler。该Message Handler将根据请求生成并设置签名。1
using System;
2
using System.IO;
3
using System.Net.Http;
4
using System.Security.Cryptography;
5
using System.Threading;
6
using System.Threading.Tasks;
7
8
namespace HttpHandlerDemo
9
{
10
// 使用方法
11
// HttpClient client = new HttpClient(new HttpHandler("{商户号}", "{商户证书序列号}"));
12
// ...
13
// var response = client.GetAsync("https://api.mch.weixin.qq.com/v3/certificates");
14
public class HttpHandler : DelegatingHandler
15
{
16
private readonly string merchantId;
17
private readonly string serialNo;
18
19
public HttpHandler(string merchantId, string merchantSerialNo)
20
{
21
InnerHandler = new HttpClientHandler();
22
23
this.merchantId = merchantId;
24
this.serialNo = merchantSerialNo;
25
}
26
27
protected async override Task<HttpResponseMessage> SendAsync(
28
HttpRequestMessage request,
29
CancellationToken cancellationToken)
30
{
31
var auth = await BuildAuthAsync(request);
32
string value = quot;WECHATPAY2-SHA256-RSA2048 {auth}";
33
request.Headers.Add("Authorization", value);
34
35
return await base.SendAsync(request, cancellationToken);
36
}
37
38
protected async Task<string> BuildAuthAsync(HttpRequestMessage request)
39
{
40
string method = request.Method.ToString();
41
string body = "";
42
if (method == "POST" || method == "PUT" || method == "PATCH")
43
{
44
var content = request.Content;
45
body = await content.ReadAsStringAsync();
46
}
47
48
string uri = request.RequestUri.PathAndQuery;
49
var timestamp = DateTimeOffset.Now.ToUnixTimeSeconds();
50
string nonce = Path.GetRandomFileName();
51
52
string message = quot;{method}\n{uri}\n{timestamp}\n{nonce}\n{body}\n";
53
string signature = Sign(message);
54
return quot;mchid=\"{merchantId}\",nonce_str=\"{nonce}\",timestamp=\"{timestamp}\",serial_no=\"{serialNo}\",signature=\"{signature}\"";
55
}
56
57
protected string Sign(string message)
58
{
59
// NOTE： 私钥不包括私钥文件起始的-----BEGIN PRIVATE KEY-----
60
// 亦不包括结尾的-----END PRIVATE KEY-----
61
string privateKey = "{你的私钥}";
62
byte[] keyData = Convert.FromBase64String(privateKey);
63
64
var rsa = RSA.Create();
65
rsa.ImportPkcs8PrivateKey(keyData, out _);
66
byte[] data = System.Text.Encoding.UTF8.GetBytes(message);
67
return Convert.ToBase64String(rsa.SignData(data, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1));
68
}
69
}
70
}
Copied!