微信支付回调验签失败主因是参数未按字典序拼接且未剔除sign、空值；支付宝验签需区分rsa_check_v1()与v2()对应不同公钥格式；幂等需用数据库唯一约束或行锁；webhook返回须严格为纯“success”字符串。
微信支付回调验签失败：sign 不匹配的常见原因
微信支付回调里最常卡住的地方，就是 sign 验证通不过——不是算法写错了，而是参数没对齐。微信要求验签前把所有非空字段按字典序拼接成 key1=value1&key2=value2 形式，再拼上 key=商户API密钥 后做 MD5（注意不是 HMAC-SHA256）。容易漏掉的点：sign_type 字段如果存在，必须参与排序；sign 字段本身要剔除；空字符串、null、None 值一律不参与拼接。
实操建议：
- 用
urllib.parse.urlencode(sorted(params.items()), doseq=True)拼接时小心布尔值和数字类型——微信只认字符串，得先统一转str() - 验签前先打印原始参数字典，过滤掉
sign和空值，再排序打印一遍，和微信文档里的示例逐字符比对 - 别信“SDK 自动处理”，很多老版本 SDK 会偷偷把
body或attach的换行符替换成空格，导致签名错
支付宝异步通知验签：用 rsa_check_v1() 还是 rsa_check_v2()？
支付宝文档里这两个函数看着像升级版，其实对应的是两套完全不同的公钥格式和验签逻辑。rsa_check_v1() 对应的是旧版「应用公钥」（即你上传到开放平台的那串 PEM），而 rsa_check_v2() 要求你传入「支付宝公钥」（从开放平台下载的 alipay_public_key.pem），且只支持 PKCS#8 格式。用错就直接返回 False，连错误提示都没有。
实操建议：
- 确认你用的是「支付宝开放平台」还是「蚂蚁金服开放平台」——前者用 v1，后者必须用 v2
- 拿到的支付宝公钥文件开头要是
-----BEGIN PUBLIC KEY-----，不是-----BEGIN RSA PUBLIC KEY-----；后者需用 OpenSSL 转换：openssl rsa -pubin -in old.pem -outform pem -out new.pem - 验签前务必调用
parse_qs()解析原始 POST body，别用request.form——支付宝发的是application/x-www-form-urlencoded，但某些框架会自动 decode 两次，导致中文参数乱码进而签名失败
回调接口被重复调用：怎么幂等判断订单状态？
微信和支付宝都可能因网络问题重发通知，而且不带重试 ID。不能只靠 out_trade_no 查库就更新状态——万一第一次更新卡在 DB 写入中途，第二次进来又写一遍，就可能触发双扣款或双发货。
实操建议：
- 用数据库唯一约束兜底：给订单表加联合索引
(out_trade_no, trade_status)，或者在状态变更表里设UNIQUE(out_trade_no, event_type) - 查库时用
SELECT ... FOR UPDATE加行锁（MySQL）或SELECT ... SKIP LOCKED（PostgreSQL），避免并发更新冲突 - 不要依赖回调里的
trade_status做最终判断——微信回调里可能是SUCCESS，但实际资金未到账；支付宝回调里TRADE_SUCCESS也不代表已结算，得以你自己查单结果为准
Webhook 接口返回 200 却收不到后续通知
微信/支付宝看到你的 HTTP 响应头里有 Connection: close 或响应体含非法字符（比如 Python 默认的 print() 多打了个换行），就会认为你没处理完，下次改用更短超时重试，甚至静默丢弃。最典型的症状是：本地 curl 测试能过，上线后就断联。
实操建议：
- 确保 Web 框架返回的是纯字符串
"success"（微信）或"success"（支付宝），不带空格、BOM、换行，Content-Type 设为text/plain; charset=utf-8 - 用
tcpdump或 Nginx access_log 看真实响应体长度和内容，别信框架日志里写的 “200 OK” - 云服务商（如阿里云 SLB、腾讯云 CLB）可能默认开启「HTTP 头部大小限制」或「响应体截断」，检查负载均衡配置里的
max_header_size和buffer_size
真正的难点不在签名算法本身，而在参数清洗、编码一致性、网络中间件行为这些看不见的地方。调通一个支付回调，80% 时间花在比对原始请求体和文档示例的每一个字节上。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
