3. 支付网关设计：网关职责、统一接入层、协议适配与签名验签

支付网关是支付中间件体系中最核心的流量入口与安全边界。它承担着将外部商户的支付请求转化为内部可路由、可处理、可审计的标准化消息的职责。本章从网关职责、统一接入层设计、协议适配机制以及签名验签体系四个维度，系统讲解企业级支付网关的落地实践。

3.1 支付网关核心职责

支付网关并非简单的请求转发器，它在支付链路中承担以下六大核心职责：

3.2 统一接入层架构

统一接入层是支付网关对外的唯一入口，所有商户请求必须经过该层才能进入内部网络。其核心设计目标包括：统一入口、协议归一、安全前置、可观测。

以下为统一接入层的典型架构图：

3.3 协议适配机制

支付网关需要支持多种外部协议，并将其统一转换为内部RPC或消息格式。协议适配层通常采用策略模式实现，每种协议对应一个适配器。

3.3.1 支持的协议类型

3.3.2 协议适配器设计

每个协议适配器负责完成以下三个步骤：

1. 报文解析：将原始字节流解析为键值对或结构化对象。
2. 格式转换：将外部字段映射为内部统一字段模型。
3. 编码输出：将内部响应编码为外部协议格式返回。

// 协议适配器接口定义示例
public interface ProtocolAdapter {
    // 解析外部请求为内部统一请求对象
    UnifiedRequest parse(HttpServletRequest request);
    
    // 将内部统一响应对象编码为外部响应
    void encode(HttpServletResponse response, UnifiedResponse unifiedResponse);
    
    // 获取支持的协议类型
    String supportedProtocol();
}

3.4 签名验签机制

签名验签是支付网关安全的第一道防线。它确保请求在传输过程中未被篡改，并验证请求方的真实身份。

3.4.1 签名算法选型

3.4.2 签名生成流程

以RSA-SHA256为例，商户端签名生成步骤：

1. 将所有请求参数按字典序排序（key=value&key=value）。
2. 拼接待签名字符串，末尾拼接商户密钥（或使用私钥签名）。
3. 使用SHA256计算摘要，再用RSA私钥加密生成签名。
4. 将签名放入请求头或请求体中的sign字段。

// 签名生成示例（Java）
public static String generateSign(Map<String, String> params, String privateKey) {
    // 1. 参数排序
    List<String> keys = new ArrayList<>(params.keySet());
    Collections.sort(keys);
    
    // 2. 拼接待签名字符串
    StringBuilder sb = new StringBuilder();
    for (String key : keys) {
        sb.append(key).append("=").append(params.get(key)).append("&");
    }
    String signStr = sb.substring(0, sb.length() - 1);
    
    // 3. 使用私钥签名
    PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(Base64.getDecoder().decode(privateKey));
    PrivateKey key = KeyFactory.getInstance("RSA").generatePrivate(keySpec);
    Signature signature = Signature.getInstance("SHA256withRSA");
    signature.initSign(key);
    signature.update(signStr.getBytes(StandardCharsets.UTF_8));
    
    return Base64.getEncoder().encodeToString(signature.sign());
}

3.4.3 验签流程

网关收到请求后，执行以下验签步骤：

1. 从请求中提取签名值（sign字段）。
2. 使用与商户约定的排序规则，重新拼接待验签字符串。
3. 根据商户号查询对应的公钥（或共享密钥）。
4. 使用公钥验证签名是否匹配。
5. 校验时间戳是否在允许的偏差范围内（通常±5分钟），防止重放攻击。

3.4.4 防重放攻击设计

仅靠签名无法防止重放攻击，必须引入nonce（一次性随机数）和时间戳机制：

以下为签名验签与防重放的整体流程示意图：

3.5 网关高可用设计要点

支付网关作为关键链路节点，必须满足99.99%以上的可用性。以下是几个关键设计要点：

• 无状态水平扩展：网关节点不存储任何会话数据，通过SLB均匀分发流量，支持秒级扩缩容。
• 优雅降级：当依赖的下游服务（如Redis、数据库）不可用时，网关应自动降级为本地缓存或直接拒绝非关键请求，避免雪崩。
• 全链路超时控制：每个环节设置独立的超时时间（如DNS解析100ms、连接建立200ms、读超时500ms），防止慢请求拖垮整个网关。
• 灰度发布：新版本网关先接入1%的流量，观察无异常后再逐步放量至100%。