网站接入在线支付 安全重点清单（企业建站通用，可直接交给开发验收）
核心原则：网站本身不处理银行卡、微信支付宝密码，密码在微信 / 支付宝官方收银台输入，你的站点只管【订单、签名、回调校验】。
一、接口与验签安全（容易踩坑）
- 务必校验支付回调签名，不要只看金额、订单号 支付平台异步回调通知你 “已付款”，必须校验官方返回的 sign 签名。 ❌ 高危错误：直接拿回调参数就标记订单为已支付，黑客伪造请求就能虚假到账。 ✅ 规范：先验签，验签通过后，再校验订单号、订单金额、商户 ID，防止篡改金额。
- 回调接口快速返回 success
回调接口不要写复杂业务逻辑（发邮件、推送、库存扣减），先直接返回
success，业务放到队列异步执行。 否则超时会重复回调，产生重复扣款、多次发货。 - 密钥、商户私钥严禁写在前端 JS、页面源码 商户密钥、API 密钥、证书私钥，只存在后端服务器，前端绝对不能暴露。 不要把 key 硬编码在网页、APP 前端，很容易被扒取。
二、订单业务逻辑安全（业务漏洞比黑客攻击更常见）
- 订单金额以服务器数据库为准，不能用前端传过来的金额 ❌ 危险：用户前端修改网页价格，提交给后端。 ✅ 正确：前端只传订单 ID，后端根据订单 ID 读取数据库原始金额，对比回调金额是否一致。
- 做幂等控制：同一个订单只能标记一次已支付 支付平台会重试回调，要防止多次回调重复发货 / 多次记账。 方案：数据库增加订单状态字段，只有【待支付】状态才允许更新为已支付，已支付订单直接忽略回调。
- 订单状态闭环：待支付→已支付 / 已关闭 / 退款，防止状态混乱 超时未付款订单自动关闭，避免占用库存。
三、服务器与网站基础安全
- 全站强制 HTTPS，SSL 证书有效 微信、支付宝商户接入硬性要求；同时防止中间人抓包篡改请求。
- 服务器做好权限隔离
- 支付密钥、商户证书单独存放，web 网站进程只读，不可对外下载
- 服务器关闭不必要端口，定期更新系统、PHP/Java 等框架补丁
- 防止 SQL 注入、XSS 跨站 下单、会员页面是攻击重点；用户输入（姓名、电话、备注）都要过滤，不能直接拼入 SQL。
四、商户后台 & 账号安全
- 微信支付 / 支付宝商户平台账号：独立强密码 + 开启 MFA 二次验证 不要多人共用一套商户账号；操作员权限分离（财务只能对账，不能修改支付密钥）。
- 商户平台 IP 白名单（能开就开） 限制只有你服务器出口 IP 可以调用支付 API，就算密钥泄露，陌生服务器也无法发起请求。
- 定期轮换密钥，密钥泄露立刻在商户平台重置。
五、资金、退款、风控
- 退款接口权限严控 退款是高危接口，不能在前端提供退款按钮。退款操作后端鉴权 + 管理员后台手动发起，不允许用户前端自动退款。退款原路退回。
- 做好对账机制 每日自动对账：网站订单记录 VS 微信 / 支付宝平台账单。 发现两边订单金额、状态不一致，自动告警人工核查（防止回调漏单、异常交易）。
- 风控基础校验 短时间同一 IP 大量下单、大额异常订单，增加人工审核，防范盗刷。
六、合规风险（很多企业忽略，会被支付平台关停）
- 网站 ICP 备案必须有效，备案主体和营业执照、支付商户主体一致。
- 页面公示：退款规则、售后说明、主体信息，支付平台审核会核验。
- 严禁：个人收款码放在网站用于商品 / 服务交易，属于违规，会限制收款甚至封号。
- 留存交易日志：订单、支付流水、回调原始数据至少保存 180 天，用于对账和申诉。
七、验收检查精简版（给建站服务商）
- ✔️ 回调验签；校验订单金额取自后端数据库
- ✔️ 订单幂等，防止重复回调
- ✔️ 密钥不在前端暴露
- ✔️ 全站 HTTPS
- ✔️ 退款仅管理员后台操作，前端无退款接口
- ✔️ 每日对账、完整交易日志留存
- ✔️ 商户平台开启二次验证，配置 IP 白名单
小提醒：安全风险大多不是攻破支付平台，而是网站自身业务逻辑漏洞（前端改价、不验签），这是企业网站支付常出事的地方。
