支付宝SDK初始化失败因私钥未按要求传入字符串，需用read().strip()读取PKCS#1格式密钥并显式指定sign_type；异步通知验签失败主因是框架篡改原始参数，须用request.get_data()等获取原始数据；return_url仅用于同步跳转展示，订单状态须以notify_url异步通知为准。

支付宝 SDK 初始化失败：alipay.AliPay() 报错 KeyError: 'app_private_key_string'

根本原因是 SDK 要求私钥必须以字符串形式传入，且格式严格——不能是文件路径，不能带多余空格或 BOM 头，也不能漏掉 -----BEGIN RSA PRIVATE KEY----- 等边界标记。

实操建议：

• 用 open('app_private_key.pem').read().strip() 读取，别直接写路径字符串给 app_private_key_string
• 检查密钥是否为 PKCS#1 格式（以 -----BEGIN RSA PRIVATE KEY----- 开头），支付宝官方 SDK 不支持 PKCS#8；如是后者，用 OpenSSL 转换：openssl rsa -in private_key_pkcs8.pem -out private_key_pkcs1.pem
• sign_type 必须显式指定为 'RSA2'（推荐）或 'RSA'，不填会报错或签名验签失败
• 沙箱环境的 gateway 必须设为 'https://openapi.alipaydev.com/gateway.do'，正式环境才用 openapi.alipay.com

异步通知验签总失败：verify_notify() 返回 False

不是签名算法错了，而是通知数据没“原样”交给 SDK——框架（如 Flask/Django）常自动解析 body、转义参数、合并重复 key，导致原始字符串被篡改，验签必然失败。

实操建议：

• Flask 中必须用 request.get_data() 拿原始字节流，再解码为 str，不能用 request.form 或 request.args
• Django 中用 request.body.decode('utf-8')，并确保 Content-Type 是 application/x-www-form-urlencoded（支付宝回调固定此类型）
• 把原始字符串按 key=value 拆成 dict 时，必须过滤掉 sign 和 sign_type 字段，且 key 要排序后拼接
• 验签前先确认 notify_id 有效（调用 alipay.verify({'notify_id': xxx})），防止重放攻击

支付成功后用户没跳转回页面：return_url 和 notify_url 混用

return_url 是同步跳转地址（用户付款后浏览器重定向），notify_url 是异步通知地址（支付宝服务器主动 POST）。两者不可互换，且 return_url 的跳转不保证成功（用户可能关浏览器），业务状态必须以 notify_url 为准。

macOS UI 自动化技能包 —— 用 Python 控制你的 Mac

让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限

下载

实操建议：

• return_url 只用于展示“请稍候，正在处理”，不做订单状态更新；跳转目标页需能接受 GET 参数（如 out_trade_no），但仅作查询参考
• notify_url 必须是公网可访问、无登录拦截、不重定向的纯接口（如 /api/alipay/notify/），返回 'success' 字符串（不能带空格或换行）
• 支付宝要求 notify_url 响应时间
• 同一笔订单可能收到多次通知，代码里必须做幂等判断（查库确认 trade_status == 'TRADE_SUCCESS' 再处理）

Python 3.9+ 下 alipay-python 报 AttributeError: module 'hashlib' has no attribute 'new'

老版本 alipay-python（如 1.1.0）依赖已废弃的 hashlib.new()，Python 3.9+ 移除了该接口。这不是你代码的问题，是 SDK 兼容性断层。

实操建议：

• 立刻弃用 alipay-python，改用官方维护的 python-alipay-sdk（pip install python-alipay-sdk）
• 新 SDK 初始化方式不同：不再传 app_private_key_string，而是用 AlipayTradePagePayModel 等模型类封装参数
• 异步通知验签方法名从 verify_notify 改为 verify_and_return_sync_response 或直接用 verify_v1（看版本）
• 注意新 SDK 默认使用 urllib.parse 编码，旧项目若手动拼接 query string，需统一编码逻辑，否则验签失败

最麻烦的不是写代码，是支付宝后台配置和本地调试环境的网络连通性——沙箱回调地址必须能被支付宝服务器访问到，内网开发得配 ngrok 或部署测试机，这点容易卡半天。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！