CertificateDownloader

Загрузчик сертификатов

Загрузчик сертификатов — это инструмент командной строки для загрузки сертификатов платформы Java WeChat Payment APIv3. Этот инструмент может получать сертификаты, доступные продавцу, из интерфейса https://api.mch.weixin.qq.com/v3/certificates , расшифровывать их с помощью ключа APIv3 и алгоритма AES_256_GCM и загружать расшифрованный сертификат в указанное место.

Этот инструмент использует wechatpay-apache-httpclient, Maven, picocli, gson, lombok и другие библиотеки.

Предварительные условия

• JRE 1.8+

быстрый старт

Этот инструмент был упакован в CertificateDownloader.jar через Maven, и его можно загрузить в выпуске.

Если после загрузки пакета jar у вас нет сертификата, команда для первой загрузки сертификата выглядит следующим образом. Конкретные инструкции см. в разделе Часто задаваемые вопросы — Загрузите сертификат в первый раз:

java -jar CertificateDownloader.jar -k ${apiV3key} -m ${mchId} -f ${mchPrivateKeyFilePath} -s ${mchSerialNo} -o ${outputFilePath}

Если у вас уже есть сертификат платежной платформы WeChat, полная команда выглядит следующим образом:

 java -jar CertificateDownloader.jar -k ${apiV3key} -m ${mchId} -f ${mchPrivateKeyFilePath} -s ${mchSerialNo} -o ${outputFilePath} -c ${wechatpayCertificateFilePath}

использовать

Обязательные параметры:

• -f <privateKeyFilePath> , путь к файлу закрытого ключа API продавца.
• -k <apiV3Key> , ключ для расшифровки сертификата
• -m <merchantId> , номер продавца
• -o <outputFilePath> , путь для сохранения сертификата
• -s <merchantSerialNo> — серийный номер сертификата API продавца.

Необязательные параметры:

• -c <wechatpayCertificatePath> — путь к сертификату платежной платформы WeChat. Если у вас еще нет сертификата, пожалуйста, не передавайте этот параметр.

Вы также можете запустить java -jar CertificateDownloader.jar -h и просмотреть справку:

Инструкции по безопасности

Инструмент принимает следующие меры безопасности:

• HTTPS : запрос на загрузку сертификата использует HTTPS.
• Шифрование AES : WeChat Pay шифрует информацию сертификата с помощью AES-256-GCM, поэтому после того, как инструмент получит ответ, он будет использовать симметричный ключ для расшифровки сертификата (здесь пользователю необходимо передать симметричный ключ из соображений безопасности). безопасность симметричного ключа , последующие версии смогут напрямую сохранять незашифрованный сертификат и расшифровывать его пользователем)
• Проверка подписи сообщения : WeChat Pay включит подпись в HTTP-заголовок ответа, и инструмент проверит подпись сообщения, расшифровав полученный сертификат, чтобы подтвердить правильность сертификата.

Если после загрузки сертификата вас все еще беспокоят ошибки сертификата, вы можете:

• Проверьте эмитента : используйте инструмент просмотра сертификатов, чтобы убедиться, что эмитентом сертификата является корневой центр сертификации Tenpay.com.
• Проверка цепочки доверия : проверьте сертификат платформы через цепочку доверия сертификатов.

Проверьте сертификат платформы, используя цепочку доверия

Используйте инструмент openssl для проверки сертификата платформы через цепочку доверия сертификатов:

• Сначала загрузите цепочку доверия сертификатов платформы CertTrustChain.p7b с платформы платежного сервиса WeChat и преобразуйте ее в формат сертификата pem:

  openssl pkcs7 -print_certs -in CertTrustChain.p7b -inform der -out CertTrustChain.pem

• Затем файл -CAfile указывает доверенные сертификаты для проверки загруженного сертификата платформы:

  openssl verify -verbose -CAfile ./CertTrustChain.pem ./WeChatPayPlatform.pem

Часто задаваемые вопросы

Как скачать сертификат первый раз

Для ответов на платежи WeChat сертификат платформы необходимо использовать для проверки подписи; однако сертификат платформы можно загрузить только через интерфейс «Получить сертификат платформы», поэтому, когда вы впервые получаете сертификат, происходит «бесконечный цикл». появится.

Чтобы решить этот «бесконечный цикл», вы можете временно пропустить проверку подписи для получения сертификата. То есть вы можете загрузить платежный сертификат WeChat без указания параметра (параметр -c). После загрузки сертификата инструмент будет использовать загруженный сертификат для проверки подписи сообщения.

После первой загрузки сертификата мы настоятельно рекомендуем обратиться к инструкции по проверке сертификата платформы через цепочку доверия сертификатов, чтобы проверить подлинность сертификата.

Есть ли какой-нибудь инструмент для загрузки на других языках?

некоторый:

• PHP, обратитесь к wechatpay-php.
• Перейти, пожалуйста, обратитесь к wechatpay_download_certs.go

обратитесь к

• Оплата Wechat документация wechatpay-apache-httpclient
• Документация WeChat Payment APIv3
• Документация Пикокли
• Документация Gson