从 http 升级到 https 过程当中遇到的一些问题

Apple 2017年1月1号起要求Appstore 上线的应用都必须使用 https 加密请求协议，在二月份又改成建议 从 http 升级为 https 协议，此为背景。

公司作的APP同时在App Store和安卓应用市场上了线。应要求，咱们也将协议升级为https。因为自制https证书不能用于支付宝请求协议，故从阿里云购买的证书服务。升级为https以后碰到了诸多问题。

1.支付宝微信支付成功却收不到notify回调的状况。

支付notify_url 要求回调时 url 不得带任何参数，若是请求为 https 证书必须由认证机构发放，自制证书无效。

微信要求必须为80端口，那么回调请求就应该为http请求。

项目由nginx加tomcat搭建，部署在ECS Linux 上面。那么支付请求以下

1）APP发起支付请求——>

2）支付宝确认签名，若是正确则支付成功——>

3）支付宝给notify_url 发异步通知——>

4）服务器收到异步通知，确认订单状态，结束这次支付请求。

第一步是APP发起请求调用支付宝的接口而后支付宝确认签名验证成功后划款。

问题出在第三步，支付宝给请求支付时预先配好的notify_url 发送异步通知时出现了问题，服务器没有收到异步通知。ngnix 和 tomcat 日志均未显示 支付宝的异步通知请求。在这里可能出现收不到回调的状况有这几种可能：

1》请求协议的问题（http，https）有多是证书配置出现问题，可是浏览器访问网站都加上了绿色的安全锁，这一点能够排除

2》服务器防火墙配置问题，ESC 的防火墙（iptables）是在阿里云的控制台配置的，在安全组规则公网配置里面，这个默认配置就能够了，不用作改动。

3》nginx 配置问题，nginx作代理服务器请求没有正确转发至后台。这一点我以为可能性最大。有多是配置问题致使支付宝回调失败。

首先验证一下配置好证书以后网站是否可以经过 https 校验

这里推荐一个强 https 校验网站，比浏览器校验更加严格

https://www.ssllabs.com/ssltest/

这是阿里建议的ssl配置证书

 1 # HTTPS server
 2 # server {
 3 # listen 443;
 4 # server_name localhost;
 5 # ssl on;
 6 # ssl_certificate cert.pem;
 7 # ssl_certificate_key cert.key;
 8 # ssl_session_timeout 5m;
 9 # ssl_protocols SSLv2 SSLv3 TLSv1;
10 # ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
11 # ssl_prefer_server_ciphers on;
12 # location / {
13 #
14 #
15 #}
16 #}

能够看到此配置只配置了 443 端口监听，443 端口为 https 的默认请求端口。这样的话微信支付回调确定就收不到了。因而我将配置改成

# HTTPS server
# #server {
# listen 80;
# listen 443 ssl;
# server_name localhost;

# ssl_certificate cert.pem;
# ssl_certificate_key cert.key;
# ssl_session_timeout 5m;
# ssl_protocols TLSv1.1 TLSv1.2;
# ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
# ssl_prefer_server_ciphers on;
# location / {
#
#
#}
#}

如上，这样nginx 就能够同时支持 http 和 https 请求了。保证微信能够正常支付，可是支付宝仍是不行。

项目服务器支持两个项目的线上运营，nginx 采用的虚拟主机配置。也就是说同一台服务器共用https的证书。这个须要开启nginx 的sni服务。查看状态进入nginx安装目录下输入命令：

sbin/nginx -V

  nginx version: nginx/1.6.2
  built by gcc 4.4.7 20120313 (Red Hat 4.4.7-17) (GCC)
  TLS SNI support enabled
  configure arguments: --prefix=/usr/local/webserver/nginx --with-openssl=/usr/local/openssl/openssl-1.0.1g/ --with-http_stub_status_module --with-htt p_ssl_module --with-pcre=/usr/local/tools/pcre/ --add-module=/usr/local/tools/packages/echo-nginx-module-0.60/

能够看到  

TLS SNI support enabled

已经开启。若是没有开启，将 nginx 加入 openssl 从新 make && make install 。

而后这个时候在测试支付，微信能够正常支付并受到回调了。这样APP微信支付和公众号支付两条路就走通了。

剩下支付宝支付仍是没有收到回调。因而我把支付宝回调调整为http请求在nginx中过滤，若是为 notify请求则重写为 http://notify_url，将项目打包到测试环境测试，果真成功了。剩下的就是将项目打包正式版本，更新了。

此次升级主要是 nginx 的证书配置和 http 和 https 的限制。遇到这样网络请求的问题，将请求全过程的从头至尾的过程多想几遍，再按照请求的流程一步一步排查问题。缩小问题的范围，问题就慢慢浮现出水面了。