码支付接口如何防止伪造请求？签名、时间戳与重放防护
支付接口直接关系到订单金额和业务交付，不能只依赖“接口地址不公开”或普通参数校验。攻击者一旦知道请求格式，就可能伪造成功通知、篡改金额或重复发送旧请求。安全接入需要同时做好签名验证、时间窗口、随机标识、幂等处理和密钥管理。
一、签名到底保护什么
签名用于证明请求参数来自持有密钥的一方，并验证内容在传输中没有被修改。常见做法是按照接口文档规定的字段顺序或键名排序，将参与签名的原始参数拼接后，使用约定算法计算摘要。服务端必须用同样规则重新计算并进行安全比较。
二、不要随意修改待签名数据
签名失败经常不是算法错误，而是双方使用的数据不一致。要明确空值是否参与、字符编码、数字格式、大小写、URL 编码以及特殊字符处理。验签应基于收到的原始字段和接口文档规定的规范化规则，避免先转成浮点数或经过二次解码后再计算。
三、加入时间戳和有效窗口
仅有签名仍可能被重放。请求中应包含时间戳，服务端验证它与当前时间的差值是否在合理窗口内。窗口不宜过长，也不能短到正常网络抖动就失败。服务器应同步标准时间，并记录超出窗口的请求以便排查。
四、使用随机串或请求标识
为每次请求生成不可预测的 nonce 或唯一请求号，并在服务端短期保存已使用值。即使攻击者截获一份合法请求，在有效时间窗口内再次发送，也会因为请求标识已使用而被拒绝。唯一标识的保存时间至少应覆盖允许的时间窗口。
五、回调还要校验业务字段
验签通过不代表可以立即发货。系统还应核对商户订单号是否存在、订单金额和币种是否一致、收款商户是否匹配、订单当前状态能否转换，以及渠道交易号是否重复。对于关键金额，使用整数分或高精度十进制处理，避免浮点误差。
六、用幂等机制防止重复交付
支付平台可能因未收到响应而重复通知。应以订单号和交易号建立唯一约束，在数据库事务中完成状态更新与业务交付。重复请求只能得到相同处理结果，不能再次充值、发货或发放权益。
七、安全保存和轮换密钥
密钥不应写入前端代码、公开仓库或日志。生产与测试环境使用不同密钥，按最小权限控制读取，并建立轮换方案。更换密钥时可以设置短暂的新旧密钥并行验证期，但要记录使用版本并及时淘汰旧密钥。
八、错误响应与日志
对外响应不要泄露密钥、完整签名串、数据库错误或服务器路径。内部日志应记录请求标识、订单号、验签结果、时间偏差和失败原因，并对敏感字段脱敏。连续大量验签失败时，应触发限流或告警。
总结
可靠的码支付安全校验不是单一签名算法，而是一套组合防线：签名保证来源和完整性，时间戳与随机标识抵御重放，业务字段校验防止错误交付，幂等和唯一约束避免重复处理，再配合密钥管理与审计日志，才能形成完整闭环。
