在開發支付寶支付功能時，如果沒在回撥方法驗證簽名，有可能被刷錢，下面說下怎麼造成的

場景：某個app有個充值功能，或者下單購買功能，假設使用者選擇的是支付寶支付。

切入口：支付寶的callback路徑。通過偽裝資訊直接訪問支付寶支付完成的回撥路徑，傳入相應資訊，如果app的服務端沒驗證簽名，那有可能就被欺騙了，從而做支付成功的邏輯處理。

偽裝資訊如支付寶介面文件中的：

http://notify.java.jpxx.org/index.jsp?discount=0.00&payment_type=1&subject=測試&trade_no=2013082244524842&[email protected]

其中需要修改的是：

1.訂單號，通常開啟支付寶支付之前，客戶端會呼叫服務端介面建立一個訂單資訊，並返回訂單號，這個需要做攔截才能拿到。

2.回撥路徑，這個路徑有可能通過服務端返回給客戶端的，這種情況可以嘗試攔截獲取，如果是寫在apk中的，那就反編譯獲取。

拿到這兩個資訊後，可以修改下總價格total_fee，單價：price，數量：quantity

準備好以後，那就訪問回撥路徑，同時傳入偽裝的所有資訊。如果服務端沒驗證簽名，那麼此時服務端的金額可能已經修改。

寫這個東西是為了告訴大家必須做驗證簽名功能，否則會存在很大隱患，也希望大家不要做非法用途，否則後果自負。

如果哪位大神有更深的研究，勿噴，請不吝賜教！