支.付宝收到异步回调后有必要再主动向支.付宝发一个请求确认订单状态吗？

[LLaMA]

[buffzty]

不用怀疑支付宝私钥泄露.
应该是对方真的支付了,但是你们漏了 导致对账错误
别再错误的路上瞎走

[bjzhush]

泄露个毛线啊，先理清流程吧
正常流程来说，发起支付用户只能看到 return url ，就是用户支付完了跳到的提示页面
至于支付成功之后，支付宝回调商家，那个回调通知的 URL ，只要你自己不泄露，从某些角度来说除了支付宝别人不可能知道的
都看到了所谓的被伪造的请求了，就没去查查发这些请求的 IP 到底是不是支付宝的？没去看看是不是处理回调失败导致支付宝重试的？没去检查下自己代码是不是有问题？

[simonlu9]

肯定要再次去支付宝获取一下订单是否真的充值成功，回调签名是支付宝私钥加密的，别人可以用支付宝公钥解密，但绝不能伪造。再次检查下代码吧

[simonlu9]

最好在数据库在加一个支付凭证的唯一索引，不然会导致重复充值问题，客户端支付成功->服务端确认；支付宝回调-》服务端确认订单；我之前遇到这两个同时并发，结果多充了两笔

[Kinnice]

一般的实现基本是只依赖异步回调的接口结果，同步接口只是做个跳转，你这正好反过来。

[WindProtect]

你收的的是重复的回调么？有没可能是因为支付宝的通知回调然后你们这边没有应答然后他们重试了？