构造验签源串
更新时间：2024.04.30微信支付在 API 应答的 HTTP 头部 Wechatpay-Signature 中提供了应答签名。商户应验证应答签名，以确保数据来自微信支付且未经第三方篡改。
同样地，在通知回调的 HTTP 头部中，微信支付会包含回调报文的签名。商户必须验证回调的签名，以确保回调由微信支付发送。
您可以使用微信支付的 官方 SDK 。通过 SDK 调用微信支付接口时，无需关心签名的生成和验证，使接入更加便捷。
此外，您还可以参考以下内容，自行验证签名，并遵循指引防止重放攻击，以及应对签名探测流量。
# 防止重放攻击
重放攻击 (opens new window)是指攻击者截取报文及其签名，并以恶意或欺诈目的重新传输数据的一种攻击手段。
为了降低此类攻击的风险，微信支付在 HTTP 头 Wechatpay-Timestamp 中提供了生成签名的时间戳。若微信支付需要重新发送某个通知回调，我们也会重新生成相应的时间戳和签名。
在验证签名之前，商户系统应检查时间戳是否已过期。我们建议商户系统允许最多5分钟的时间偏差。如果时间戳与当前时间的偏差超过5分钟，您应拒绝处理当前的响应或回调通知。
提示
您应当采用网络时间协议（NTP）等机制实现商户系统的时钟同步，保证时间准确。
# 构造验签名串
首先，您从应答或通知回调中获取以下信息：
- HTTP 头
Wechatpay-Timestamp中的应答时间戳 - HTTP 头
Wechatpay-Nonce中的应答随机串 - 应答报文主体（Response Body），请使用原始报文主体执行验签。如果您使用了某个框架，要确保它不会篡改报文主体。对报文主体的任何篡改都会导致验证失败。
然后，请按照以下规则构造应答的验签名串。签名串共有三行，行尾以 \n 结束，包括最后一行。\n 为换行符（ASCII 编码值为 0x0A）。若应答报文主体为空（如 HTTP 状态码为 204 No Content），最后一行仅为一个 \n 换行符。
1应答时间戳\n2应答随机串\n3应答报文主体\n以某次下载微信支付平台证书 API 的应答 HTTP 报文（省略了 ciphertext 的具体内容）为例：
1HTTP/1.1 200 OK2Server: nginx3Date: Tue, 02 Apr 2019 12:59:40 GMT4Content-Type: application/json; charset=utf-85Content-Length: 22046Connection: keep-alive7Keep-Alive: timeout=88Content-Language: zh-CN9Request-ID: e2762b10-b6b9-5108-a42c-16fe2422fc8a10Wechatpay-Nonce: c5ac7061fccab6bf3e254dcf98995b8c11Wechatpay-Signature: CtcbzwtQjN8rnOXItEBJ5aQFSnIXESeV28Pr2YEmf9wsDQ8Nx25ytW6FXBCAFdrr0mgqngX3AD9gNzjnNHzSGTPBSsaEkIfhPF4b8YRRTpny88tNLyprXA0GU5ID3DkZHpjFkX1hAp/D0fva2GKjGRLtvYbtUk/OLYqFuzbjt3yOBzJSKQqJsvbXILffgAmX4pKql+Ln+6UPvSCeKwznvtPaEx+9nMBmKu7Wpbqm/+2ksc0XwjD+xlvlECkCxfD/OJ4gN3IurE0fpjxIkvHDiinQmk51BI7zQD8k1znU7r/spPqB+vZjc5ep6DC5wZUpFu5vJ8MoNKjCu8wnzyCFdA==12Wechatpay-Timestamp: 155420998013Wechatpay-Serial: 5157F09EFDC096DE15EBE81A47057A7232F1B8E114Cache-Control: no-cache, must-revalidate1516{"data":[{"serial_no":"5157F09EFDC096DE15EBE81A47057A7232F1B8E1","effective_time":"2018-03-26T11:39:50+08:00","expire_time":"2023-03-25T11:39:50+08:00","encrypt_certificate":{"algorithm":"AEAD_AES_256_GCM","nonce":"4de73afd28b6","associated_data":"certificate","ciphertext":"..."}}]}则验签名串为
115542099802c5ac7061fccab6bf3e254dcf98995b8c3{"data":[{"serial_no":"5157F09EFDC096DE15EBE81A47057A7232F1B8E1","effective_time":"2018-03-26T11:39:50+08:00","expire_time":"2023-03-25T11:39:50+08:00","encrypt_certificate":{"algorithm":"AEAD_AES_256_GCM","nonce":"4de73afd28b6","associated_data":"certificate","ciphertext":"..."}}]}# 获取应答签名
微信支付的应答签名通过 HTTP 头 Wechatpay-Signature 传递。（请注意，示例可能存在换行，实际数据应在一行）
1Wechatpay-Signature: CtcbzwtQjN8rnOXItEBJ5aQFSnIXESeV28Pr2YEmf9wsDQ8Nx25ytW6FXBCAFdrr0mgqngX3AD9gNzjnNHzSGTPBSsaEkIfhPF4b8YRRTpny88tNLyprXA0GU5ID3DkZHpjFkX1hAp/D0fva2GKjGRLtvYbtUk/OLYqFuzbjt3yOBzJSKQqJsvbXILffgAmX4pKql+Ln+6UPvSCeKwznvtPaEx+9nMBmKu7Wpbqm/+2ksc0XwjD+xlvlECkCxfD/OJ4gN3IurE0fpjxIkvHDiinQmk51BI7zQD8k1znU7r/spPqB+vZjc5ep6DC5wZUpFu5vJ8MoNKjCu8wnzyCFdA==使用 base64 解码 Wechatpay-Signature 字段值，得到应答签名。
提示
某些代理服务器或 CDN 服务提供商，在转发时可能会“过滤”微信支付扩展的 HTTP 头，导致应用层无法获取微信支付的签名信息。商户遇到这种情况时，我们建议尝试调整代理服务器配置，或者通过直连的方式访问微信支付的服务器和接收通知回调。
