支付回调的验签与校验

回调接口是对外暴露的写入口，安全要求高于普通 API。

验签

用供应商提供的密钥与算法验证签名，比较时使用常量时间比较，避免时序泄漏。

身份与金额

签名有效不代表是给你这个商户的。还要校验商户号、应用 id，以及金额和币种是否与本地订单一致。金额不一致要拒绝并告警。

幂等与状态

用事件 id 或订单号做幂等，重复回调直接返回成功。状态迁移加 guard，防止已退款订单被改回已支付。

日志

记录原始报文摘要、验签结果与处理结果，但不要记录完整卡号或敏感字段。