没想明白微信支付 v3 里面为什么要对消息进行加密

[zhwguest]

按照以往的经验，使用 https 的话，只需要加签验证发送源合法就好了。

[ding2dong]

防证书劫持被人抓包？

[dzdh]

https://www.pcisecuritystandards.org/

https://www.isccc.gov.cn/

https://www.isccc.gov.cn/zxyw/cprz/fjrjgzfywssjsrz/index.shtml

https://www.isccc.gov.cn/ycpd/gjxxaqcprz/index.shtml

ISO 23195:2021 GB/T 18336

[herexf]

非程序员的回答
消息才是真正的业务随机值，密钥反而是固定的字符串。哈哈

[tool2d]

可能商家在安卓上被 https 抓包抓怕了，https 毕竟是协议层，不自己二次加密，不放心啊。（虽然微信支付是 IP 白名单的）

[lichao]

重放攻击？

[zhwguest]

首先谢谢各位的热心解答。

对于抓包，我不是特别能理解。一般来说，抓包是为了进行协议分析而不是内容收集。因为抓包的大多数环境实际上并不能广泛适用，自己 root 一个手机、设置一个环境可以抓包，但是这样的主动环境抓几个包除了分析感觉也做不了啥事情（这样的环境真要搞事情，很多其他的手段，接口上的加解密也没啥太大用）。协议分析的话，接口文档描述得清清楚楚明明白白，应该也用不着。

对于重放，我也觉得不太像。如果加密本身不解决重放的问题，重放密文一样可以攻击。