微信支付回调接口务必作sign签名验证

https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=4_3

https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=9_7

特别提醒：商户系统对于支付结果通知的内容必定要作签名验证，防止数据泄漏致使出现“假通知”，形成资金损失。

商户回调API安全

在普通的网络环境下，HTTP请求存在DNS劫持、运营商插入广告、数据被窃取，正常数据被修改等安全风险。商户回调接口使用HTTPS协议能够保证数据传输的安全性。因此微信支付建议商户提供给微信支付的各类回调采用HTTPS协议。请参考：HTTPS搭建指南。