假装微信支付回调通知之假回调

原理 1.微信支付成功后，微信会给业务服务器发送回调通知，回调内容为一系列 参数的键值对参数按照key=value的格式，并按照参数名ASCII字典序排序生成字符串，而后用商户私钥对其进行签名，如MD5，并将签名撇接到字符串后，而后以XML方式发送给业务服务器，若是秘钥泄露，他人可任意伪造回调数据进行假通知，在业务服务器（1.没有更进一步判断IP是否来自微信服务器，2没有进行主动查询）的状况下订单

>>阅读原文<<