2. 主流支付SDK的TLS通信模型

在深入配置SSL Pinning之前，必须理解目标SDK的底层TLS通信模型。支付宝、微信支付和Stripe分别采用了不同的连接策略和证书验证机制，这些差异直接影响Pinning的实现位置和复杂度。

2.1 TLS通信模型总览

下表对比了三大支付SDK的核心TLS属性，帮助开发者快速定位Pinning的切入点。

2.2 支付宝SDK：自研公钥校验

支付宝SDK的TLS连接由自研网络层主导，不依赖系统默认的证书链验证栈。SDK会预先编译公钥哈希到原生代码层，并在每次TLS握手完成后，对服务端证书的公钥执行哈希匹配。这种机制对中间人代理具有天然的抵抗力。

关键代码位置（Android端伪逻辑）：

// 支付宝SDK内部源码示意（非实际反编译结果）
public class AlipayNetworkManager {
    private static final String[] PINNED_PUBLIC_KEYS = {
        "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=", // 生产公钥
        "sha256/BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB="  // 备用公钥
    };

    private boolean verifyCertificate(X509Certificate cert) {
        ByteArrayInputStream bis = new ByteArrayInputStream(cert.getPublicKey().getEncoded());
        MessageDigest md = MessageDigest.getInstance("SHA-256");
        byte[] digest = md.digest(bis.readAllBytes());
        String hash = Base64.getEncoder().encodeToString(digest);
        for (String pinned : PINNED_PUBLIC_KEYS) {
            if (pinned.replace("sha256/", "").equals(hash)) {
                return true;
            }
        }
        return false;
    }
}

2.3 微信支付SDK：签名校验 + 链式验证

微信支付SDK的TLS模型分层明显：底层使用自研C++网络库负责连接和证书验证，上层提供业务回调。SDK除了验证证书链的有效性，还会对每个API响应的签名头（如Wechatpay-Signature）进行数字签名校验，形成双重保障。

连接初始化配置示例（iOS端）：

// 微信支付SDK iOS端调用示例
- (void)startPayWithRequest:(PayReq *)request {
    // SDK内部自动获取证书链并进行校验，开发者无需干预
    [WXApi sendReq:request completion:^(BOOL success) {
        if (success) {
            // 支付页面拉起成功
        } else {
            // 通常为TLS握手失败或证书校验不过
        }
    }];
}

2.4 Stripe SDK：自动化Pinning

Stripe SDK（iOS为StripeCore/Stripe，Android为stripe-android）采用了自动管理Pinning的策略。SDK在编译期会嵌入一组Stripe API服务器的公钥信息，并在运行时自动校验。开发者无需手动配置证书哈希，只需要通过API开关启用或禁用Pinning特性。

StripeNet的核心验证流程：

1. 证书链验证： 确保服务器证书由受信任的CA签发且未过期。
2. 公钥Pinning验证： 将服务器证书的公钥与SDK内置的公钥列表进行匹配。
3. 备用公钥机制： 当主公钥轮换时，SDK会自动尝试匹配备用公钥，避免因为证书更新导致的业务中断。

Android端启用Pinning的配置方式：

// Stripe Android SDK - 在Application初始化时启用Pinning
Stripe stripe = new Stripe(
    context,
    "pk_live_xxxxxxxxxxxxxxxxx",
    "stripe_sdk_version_1.0", // 自动关联公钥列表
    true                      // enablePinning = true
);

// 或者通过StripeConfiguration全局配置
StripeConfiguration.setEnablePinning(true);

2.5 三大SDK连接模型对比SVG

下图直观展示了三种SDK在SSL Pinning部署层面的差异：支付宝采用编译期公钥注入，微信支付采用签名+链式双重校验，Stripe采用自动管理公钥列表。

2.6 开发者实践要点