1. 支付SDK概览与选型
支付SDK（Software Development Kit）是支付服务商提供给开发者的工具包，封装了支付网关对接、签名、回调解析、订单管理等核心逻辑。选型直接决定后续集成效率、交易成功率和运维成本。
重要前提：在注册与回调之前，必须先理解SDK的定位、能力边界以及当前业务场景的匹配度。错误选型会导致后期频繁切换SDK，造成大量重复开发。
1.1 主流支付SDK矩阵
| SDK / 服务商 | 语言支持 | 回调机制 | 加密标准 | 地域侧重 | 费率模式 |
|---|---|---|---|---|---|
| Stripe | Python, Node.js, Go, Java, Ruby, .NET, PHP | Webhook + 签名校验 (HMAC-SHA256) | PCI DSS Level 1, TLS 1.2+ | 欧美、全球 | 按交易量阶梯 |
| 支付宝境外 / Alipay+ | Java, PHP, Python, Node.js, .NET | 同步返回 + 异步通知 (RSA2 签名) | RSA2, AES-256 | 东南亚、中国出海 | 单笔手续费 + 保证金 |
| 微信支付 / WeChat Pay | Java, PHP, Python, Go, C# | 异步通知 + 支付结果查询 (HMAC-SHA256) | 国密SM2/SM4 可选, SHA256-RSA | 中国、部分海外国家 | 单笔费率 |
| Adyen | Java, Python, Node.js, PHP, .NET | Webhook (回调URL + HMAC 签名) | PCI DSS Level 1, 3DS 2.0 | 全球、多币种 | 交易费 + 月结 |
| PayPal / Braintree | Java, Python, Node.js, Ruby, .NET, PHP | IPN (Instant Payment Notification) + Webhook | TLS 1.2+, 签名验证 | 北美、欧洲、全球 | 固定费率 + 小额交易费 |
1.2 适用场景速查
- 跨境电商/出海：优先 Stripe（欧美）、Adyen（全球多币种）、支付宝境外（东南亚/中国用户）。
- 国内线下/扫码：微信支付、支付宝国内版（聚合支付需封装双SDK）。
- 订阅/SaaS 计费：Stripe 的 Billing、PayPal 的 Subscription API 体验较好。
- 高并发/大商户：Adyen 或自研聚合通道，SDK 本身要求异步回调幂等设计。
- 政府/金融级合规：需支持国密、PKI 证书，微信支付企业版、支付宝企业版提供专用 SDK。
1.3 选型评估维度
- 支付场景匹配度：线上/线下、单次/订阅、跨境/本地、钱包/卡支付。
- 开发语言与生态：SDK 是否提供官方包（npm、maven、packagist）；社区活跃度；文档完整性。
- 回调与通知可靠性：是否支持重试、签名校验方式（HMAC/RSA/国密）、幂等key设计。
- 费率与结算周期：T+1/T+7？是否有隐藏退货费、提现费。
- 合规与安全性：PCI DSS 等级、Tokenization 支持、3DS 2.0 认证、GDPR/隐私保护。
- 技术集成复杂度：沙箱环境可用性、注册流程、回调接收示例代码是否开箱即用。
选型口诀：先匹配场景，再看文档与回调，费率合规最后算。
1.4 选型决策流程 (SVG)
下图展示了从需求梳理到最终SDK确定的标准决策路径，每个分支对应关键判断点。
1.5 选型备忘录与代码验证
在正式选型前，建议在沙箱环境中快速验证SDK注册和回调基础流程。以下示例展示了初始化支付宝境外SDK（Java）的最小配置：
// 引入 Maven 依赖 (pom.xml)
// <dependency>
// <groupId>com.alipay.sdk</groupId>
// <artifactId>alipay-sdk-java</artifactId>
// <version>4.38.150.ALL</version>
// </dependency>
// 初始化客户端
AlipayClient alipayClient = new DefaultAlipayClient(
"https://openapi-sandbox.dl.alipaydev.com/gateway.do",
"app_id_here",
"your_private_key",
"json",
"UTF-8",
"alipay_public_key",
"RSA2"
);
关键提醒：以上代码仅为沙箱演示。实际生产环境必须妥善保管私钥，避免硬编码在代码仓库中；使用密钥管理服务或环境变量注入。
1.6 选型常见陷阱
- 陷阱1：只看SDK排名，忽略自身语言与回调签名实现难度（如国密SM2需要额外库）。
- 陷阱2：低估异步回调幂等设计成本——某些SDK不提供唯一回调ID，需自行用订单号+唯一ID去重。
- 陷阱3：选择免费但无正式商业支持的SDK，后期故障无法获得及时技术响应。
- 陷阱4：忽略沙箱环境与正式环境的差异（签名算法、证书、回调IP白名单）。