待签名参数

api_id=10001
mch_order_no=M202606130001
name=test
amount=100.00
notify_url=https://merchant.example.com/notify
return_url=https://merchant.example.com/return
client_ip=127.0.0.1
timestamp=1781260800
method=api
sign_type=MD5
params=merchant_attach

拼接过程

1. 移除 sign_type 字段
2. 自有协议移除 params 字段
3. 按参数名升序排序
4. 拼接得到：
amount=100.00&api_id=10001&client_ip=127.0.0.1&mch_order_no=M202606130001&method=api&name=test&notify_url=https://merchant.example.com/notify&return_url=https://merchant.example.com/return&timestamp=1781260800

5. 追加商户密钥后计算 MD5：
md5("amount=100.00&api_id=10001&client_ip=127.0.0.1&mch_order_no=M202606130001&method=api&name=test&notify_url=https://merchant.example.com/notify&return_url=https://merchant.example.com/return&timestamp=1781260800test_key_123456")

6. 得到 sign：
88b747f0b64dc6f990ffe786ee3c928e

PHP 生成签名

function build_sign(array $params, string $apiKey, bool $excludeParams = true): string
{
    unset($params['sign'], $params['sign_type']);

    if ($excludeParams) {
        unset($params['params']);
    }

    ksort($params);

    $pairs = [];
    foreach ($params as $key => $value) {
        if ($value === '' || $value === null || is_array($value)) {
            continue;
        }
        $pairs[] = $key . '=' . $value;
    }

    return md5(implode('&', $pairs) . $apiKey);
}

PHP 验签示例

$apiKey = 'test_key_123456';
$params = $_POST;
$merchantSign = $params['sign'] ?? '';
$systemSign = build_sign($params, $apiKey, true);

if (!hash_equals($systemSign, $merchantSign)) {
    exit('sign error');
}

注意事项

1. sign 字段必须使用小写 MD5 字符串
2. sign 和 sign_type 永远不参与签名
3. 自有协议 params 永远不参与签名，无论下单请求、退款请求还是异步通知
4. 自有协议统一下单的 method 必填并参与签名
5. 空字符串和 null 不参与签名
6. 金额建议商户侧按字符串处理，例如 100.00，避免浮点数导致签名不一致
7. 验签时必须使用原始接收到的字段值，不要先做 URL 解码之外的格式化、四舍五入或类型转换

链接处理方式

成功示例

{
    "code": 1,
    "msg": "发起成功!",
    "time": 1781260800,
    "data": {
        "order_no": "20260613123015000001",
        "mch_order_no": "M202606130001",
        "url": "https://pay.example.com/payment/order/20260613123015000001",
        "method": "jump"
    }
}

失败示例

{
    "code": 0,
    "msg": "签名错误",
    "time": 1781260800,
    "data": null
}

业务说明

1. mch_order_no 在同一商户内唯一，不同商户可以使用相同商户订单号
2. 重复请求仅在接入协议、金额、商品名、支付类型、请求方式、付款IP、通知地址、返回地址和设备类型均与首次提交一致时复用原订单
3. 未指定支付方式或未确定可用通道时，data.url 可能返回系统收银台地址，由用户选择支付方式
4. 当 method=submit 时，该接口用于浏览器前台提交，成功时直接跳转支付页面，失败时展示 HTML 提示页，不返回上述 JSON 结构