支付回调安全规范

当系统涉及第三方支付回调（微信支付、支付宝等）或 webhook 通知时，防止伪造、篡改和重放攻击。

陷阱 #1: 回调未验证平台签名

场景: 收到支付回调后直接解密/解析并处理，未验证请求确实来自支付平台

问题根因

支付回调地址暴露在公网，任何人都可以伪造请求。如果不验签，攻击者可以构造假的"支付成功"通知。

错误示例