常见问题

A：两者均为RSA证书，具体区别如下：

1$ openssl x509 -in {证书文件路径} -noout -serial
2serial=7BACED71D6EDD4A4A16996DE7B46518CCA

1/**
2 * 获取证书。
3 *
4 * @param filename 证书文件路径  (required)
5 * @return X509证书
6 */
7public static X509Certificate getCertificate(String filename) throws IOException {
8    InputStream fis = new FileInputStream(filename);
9    BufferedInputStream bis = new BufferedInputStream(fis);
10    try {
11        CertificateFactory cf = CertificateFactory.getInstance("X509");
12        X509Certificate cert = (X509Certificate) cf.generateCertificate(bis);
13        cert.checkValidity();
14        return cert;
15    } catch (CertificateExpiredException e) {
16        throw new RuntimeException("证书已过期", e);
17    } catch (CertificateNotYetValidException e) {
18        throw new RuntimeException("证书尚未生效", e);
19    } catch (CertificateException e) {
20        throw new RuntimeException("无效的证书文件", e);
21    } finally {
22        bis.close();
23    }
24}

1/**
2* Read certificate from file
3*
4* @param string    $filepath     PEM encoded X.509 certificate file path
5* 
6* @return resource|bool  X.509 certificate resource identifier on success or FALSE on failure
7*/
8public static function getCertificate($filepath) {
9    return openssl_x509_read(file_get_contents($filepath));}

• 使用与平台共享的对称密钥，解密报文中的证书（必须）

• 通过解密得到的证书，来验证报文的签名（必须）

• 使用证书查看工具，核对证书的颁发者为Tenpay.com Root CA。详见如何区分API证书的类型？（强烈推荐）

• 通过证书信任链验证微信支付平台证书（强烈推荐）

1openssl pkcs7 -print_certs -in CertTrustChain.p7b -inform der -out CertTrustChain.pem

1openssl verify -verbose -CAfile ./CertTrustChain.pem ./WeChatPayPlatform.pem

Q：在商户平台的平台证书管理页面为什么没有启动灰度按钮？

A：参考以下几点排查：
1、需要超管或者安全联系人才可以看到证书详情；
2、需要有两份平台证书，且都在有效期内时，才会显示启动灰度按钮。 平台证书如果临过期且超过90天未曾使用，则不会生成新证书。详见平台证书自动化切换流程介绍

Q：在微信支付平台证书灰度切换期间进行下单操作时，系统报错提示："Cannot found the serial(6AFA797DF4EBC38DD0119B26B3B7C2D4XXXXXXXX)'s configuration; which's from the response(header:Wechatpay-Serial); your's 2729667D831C9BAA47C49E471F5F2A28XXXXXXXX"，这是什么原因？如何解决？​​

​​A：此报错原因是验签时使用了与当前接口要求不匹配的平台证书。

具体背景是：微信支付平台证书灰度切换期间，系统会同时存在新旧两份有效证书（旧证书逐步失效，新证书正式生效）。此时，下单接口返回的响应头Wechatpay-Serial字段会明确标注本次接口调用需使用的​​最新证书序列号​​。

解决方法是：商户需以该Wechatpay-Serial字段指定的序列号为准，从已获取的平台证书列表中匹配对应的最新证书完成验签操作，避免因误用旧证书导致验签失败。

Q：商户能否自助查询微信支付平台证书调用记录？

A：暂不支持商户自助查询，如需确认请联系在线技术支持。

Q：可以重复使用平台证书下载工具下载平台证书吗?

A：可以。工具是用于获取已有的平台证书，可以多次下载并且不会改变证书内容。

A：是因为无可用的平台证书导致的报错，请参考指引接入微信支付公钥，如果有疑问，请联系在线技术支持。

Q：调用下载平台证书接口报错：{"code":"NOT_ENOUGH";"message":"平台证书已过期失效，请联系微信支付技术支持。"}，什么原因？

A：平台证书过期导致返回的证书列表为空，请参考指引接入微信支付公钥，如果有疑问，请联系在线技术支持。

Q：平台证书的内容格式是什么样的？​

A：​平台证书以“-----BEGIN CERTIFICATE-----”开头，以“-----END CERTIFICATE-----”结尾，中间是Base64编码的证书内容，包含公钥、有效期、颁发机构等信息，用于验证微信支付应答和回调的签名合法性。

Q：微信支付平台证书在过期前多少天会自动生成新证书？

A：新证书的生成具体规则如下：

1、微信侧会在平台证书过期前210天自动生成新平台证书，此时可以在商户平台看到，但调用下载平台证书接口获取不到新证书。

2、从180天开始调用下载平台证书接口可以获取到全部有效期内的证书（包含旧证书和新证书）。

3、临过期且近90天未曾调用平台证书的则不会生成新证书。详见平台证书自动化切换流程介绍

Q：新申请的商户号能否从公钥模式切换回平台证书？

A：可以，如需切换请参考如何从微信支付公钥切换成平台证书。但请注意平台证书需要每5年更换一次，且更换期间需要兼容新旧两份平台证书，不能及时更换平台证书可能会影响商户业务，所以更建议用公钥方案。

Q：平台证书已经过期，为什么没有生成新平台证书？

A：临过期且超过90天未曾调用平台证书的就不会自动生成新平台证书。如果近期不使用v3接口的可以不用更换平台证书。后续如果使用建议接入微信支付公钥方案 。如果有特殊原因需要继续使用平台证书请联系微信支付在线技术支持。

Q：生成新平台证书是否会影响现有的接口调用？

A：生成新平台证书且旧证书有效期在180天内时，商户可以获取到新旧两份证书，但微信支付返回签名时默认还是用旧证书的。有实现自动调下载证书接口的要注意兼容新旧两份证书，不然可能会因为验签用错证书影响商户业务。

Q：平台证书灰度100%后，显示旧证书下线中，什么时候下线完成？

A：灰度到100%后微信支付返回的签名就全部用新证书了。旧证书到期后自动下线，商户无需处理。

Q：没有技术人员如何更换平台证书？

A：更换证书需要超管和技术人员配合，请在证书到期前联系新的技术人员来更换证书；如果使用第三方系统的，请联系第三方系统的技术人员处理。

Q：用平台证书方案验签是否有参考的demo？

A：微信支付SDK支持证书和公钥两种方式验签，并且支持平台证书平滑切换能力，请参考SDK文档获取demo。