什麼是第三方支付？

第三方支付是指具有雄厚實力和信譽保障的獨立機構，與各大銀行簽約後提供的交易支援平台。在交易流程中，買方選購商品後，透過第三方平台帳戶支付貨款，平台再通知賣家款項已到帳。目前主流平台包括支付寶、財付通、微信支付、銀聯商務等。網站只需向平台申請帳號並簽署協議，即可支援幾乎所有銀行卡和信用卡交易，無需逐一對接銀行系統。

第三方支付核心流程解析

以支付寶為例，完整支付流程包含七個關鍵步驟：

1. 用戶在商城確認訂單並發起請求
2. 商城儲存訂單數據至資料庫
3. 返回訂單確認頁面，顯示金額等資訊
4. 用戶確認支付，請求發送至支付網關（而非商城伺服器）
5. 顯示支付頁面，用戶輸入認證資訊
6. 支付完成後雙軌並行：頁面跳轉至結果頁（用戶可見），同時支付寶伺服器發送異步通知至商城
7. 商城驗證通知真實性，更新訂單狀態（如標記為已付款）

開發重點集中在步驟 4（發起支付請求）與步驟 7（驗證異步通知）兩個與支付網關交互的環節。

支付寶接口開發實戰

3.1 環境準備與測試

簽約後獲得合作夥伴 ID (PID) 和安全校驗碼 (Key)。下載官方技術文檔與 Demo，支援擔保交易、即時到帳、雙功能等接口。注意：必須在公網環境調試，否則無法接收異步通知。

核心配置文件 alipay_config.php 需填入 PID、Key、返回頁面 URL ($return_url) 與異步通知 URL ($notify_url)。兩者區別在於：前者用戶可見（同步跳轉），後者伺服器間直接通訊（異步）。

建立資料表 orders 儲存訂單，配置 mysql_config.php 連線資料庫。修改 Demo 後即可測試建立支付請求。

3.2 核心代碼邏輯深度解析

建立支付請求（步驟 4）

表單隱藏域提交參數至支付寶網關。為防篡改，採用 MD5 簽名機制：按規則拼裝參數字串，附加 Key 後生成 32 位簽名，隨請求一併提交。支付寶驗證簽名無誤後才顯示支付頁面。

驗證異步通知（步驟 7）

支付完成後，支付寶 POST 請求 $notify_url。驗證雙重保障：

1. 本地簽名驗證：用相同算法重新計算簽名比對
2. 遠程網關驗證：將 notify_id 提交至支付寶驗證接口，回傳 true/false 確認通知真實性

雙重驗證通過後，方可安全更新訂單、發送郵件等後續操作。Demo 中使用 fsockopen 模擬 POST 請求驗證，類似 fopen 操作檔案控制代碼。

關鍵提醒

• 測試環境必須可被公網訪問，否則異步通知失敗導致訂單狀態不更新
• 嚴格遵循官方文檔參數規範與簽名算法
• 妥善保管 Key，避免洩露