1. 微信支付V3回调与退款回调系统概述微信支付V3版本相比之前的版本在安全性和功能性上都有显著提升其中最核心的变化就是采用了全新的签名验证机制和回调处理流程。对于Java开发者来说weixin-java-pay这个开源SDK可以说是接入微信支付V3的最佳选择。我在多个电商项目中都使用过这个SDK实测下来确实能省去不少重复造轮子的时间。这个SDK最实用的地方在于它已经封装好了V3版本的所有核心功能包括签名验证、证书管理、回调处理等。你不用再自己研究微信那套复杂的签名算法也不用担心证书加载的问题。我刚开始接触微信支付时曾经尝试自己实现签名验证结果踩了不少坑后来发现直接用这个SDK能节省至少70%的开发时间。在实际项目中支付回调系统的可靠性至关重要。想象一下用户已经付款了但你的系统因为回调处理失败而没收到通知这会导致订单状态无法更新进而引发客诉。我遇到过最严重的一次事故就是因为回调验证逻辑有漏洞导致一晚上漏掉了20多笔订单第二天客服电话都被打爆了。所以构建一个高可靠的微信支付回调系统绝对是电商类项目的重中之重。2. 项目环境搭建与基础配置2.1 Maven依赖引入首先需要在pom.xml中添加weixin-java-pay的依赖。这里有个小技巧建议使用最新稳定版因为微信支付接口偶尔会有调整新版SDK会及时跟进这些变化。我最近的项目用的是4.5.3.B版本运行非常稳定dependency groupIdcom.github.binarywang/groupId artifactIdweixin-java-pay/artifactId version4.5.3.B/version /dependency2.2 微信支付证书配置微信支付V3要求使用APIv3密钥和证书进行通信。证书文件通常包括apiclient_cert.pem - 证书文件apiclient_key.pem - 私钥文件apiclient_cert.p12 - PKCS#12格式证书这些文件需要从微信支付商户平台下载。我建议把证书放在resources/cert目录下然后在application.yml中配置路径he: wx: pay: mchId: 1230000109 mchKey: your-mch-key keyPath: classpath:cert/apiclient_cert.p12 APIv3: your-api-v3-key privateKeyPath: classpath:cert/apiclient_key.pem privateCertPath: classpath:cert/apiclient_cert.pem notifyUrl: https://yourdomain.com/pay/notify2.3 配置类封装为了方便管理我习惯创建一个WxPayProperties配置类Component Data ConfigurationProperties(prefix he.wx.pay) public class WxPayProperties { private String mchId; private String mchKey; private String keyPath; private String APIv2; private String APIv3; private String privateKeyPath; private String privateCertPath; private String notifyUrl; }3. 支付回调接口实现3.1 控制器层设计支付回调接口需要特别注意签名验证。我最初尝试用HttpServletRequest获取请求头结果发现有些情况下签名验证会失败。后来改用RequestHeader注解直接获取头部参数问题就解决了PostMapping(/payNotify/{appid}/{orderPayNo}) public String payNotify( PathVariable(appid) String appid, PathVariable(orderPayNo) String orderPayNo, RequestBody String payNotifyForm, RequestHeader(Wechatpay-Timestamp) String timestamp, RequestHeader(Wechatpay-Nonce) String nonce, RequestHeader(Wechatpay-Serial) String serial, RequestHeader(Wechatpay-Signature) String signature, HttpServletResponse response) { return payService.payNotifyV3(appid, orderPayNo, payNotifyForm, timestamp, nonce, serial, signature, response); }3.2 服务层实现服务层是核心业务逻辑所在。这里我封装了一个getWxPayService方法用于创建配置好的WxPayService实例private WxPayService getWxPayService(String appid) { WxPayConfig payConfig new WxPayConfig(); payConfig.setAppId(appid); payConfig.setMchId(this.properties.getMchId()); payConfig.setMchKey(this.properties.getMchKey()); payConfig.setKeyPath(this.properties.getKeyPath()); payConfig.setApiV3Key(this.properties.getAPIv3()); payConfig.setPrivateKeyPath(this.properties.getPrivateKeyPath()); payConfig.setPrivateCertPath(this.properties.getPrivateCertPath()); WxPayService wxPayService new WxPayServiceImpl(); wxPayService.setConfig(payConfig); return wxPayService; }实际的回调处理方法中最重要的是异常处理和日志记录。我建议对每次回调都做持久化存储方便后续排查问题public String payNotifyV3(String appid, String orderPayNo, String payNotifyForm, String timestamp, String nonce, String serial, String signature, HttpServletResponse response) { WxPayService wxPayService this.getWxPayService(appid); SignatureHeader signatureHeader new SignatureHeader(); signatureHeader.setTimeStamp(timestamp); signatureHeader.setNonce(nonce); signatureHeader.setSerial(serial); signatureHeader.setSignature(signature); try { WxPayNotifyV3Result result wxPayService.parseOrderNotifyV3Result(payNotifyForm, signatureHeader); // 保存回调数据到数据库 saveCallbackLog(orderPayNo, result.toString()); // 处理业务逻辑 processOrder(result, orderPayNo); response.setStatus(200); return {\code\:\SUCCESS\,\message\:\成功\}; } catch (Exception e) { saveErrorLog(orderPayNo, e.getMessage()); response.setStatus(500); return {\code\:\FAIL\,\message\:\失败\}; } }4. 退款回调接口实现4.1 退款回调的特殊性退款回调的处理流程与支付回调类似但有几点需要注意退款可能会有多次部分退款需要正确处理退款状态退款金额需要与原支付订单核对退款结果会影响库存和财务对账4.2 控制器层实现退款回调接口设计与支付回调类似PostMapping(/refundNotify/{appid}/{outRefundNo}) public String refundNotify( PathVariable(appid) String appid, PathVariable(outRefundNo) String outRefundNo, RequestBody String payNotifyForm, RequestHeader(Wechatpay-Timestamp) String timestamp, RequestHeader(Wechatpay-Nonce) String nonce, RequestHeader(Wechatpay-Serial) String serial, RequestHeader(Wechatpay-Signature) String signature, HttpServletResponse response) { return payService.refundNotifyV3(appid, outRefundNo, payNotifyForm, timestamp, nonce, serial, signature, response); }4.3 服务层实现退款回调处理需要特别注意金额核对和状态更新public String refundNotifyV3(String appid, String outRefundNo, String resultNotify, String timestamp, String nonce, String serial, String signature, HttpServletResponse response) { WxPayService wxPayService this.getWxPayService(appid); SignatureHeader signatureHeader new SignatureHeader(); signatureHeader.setTimeStamp(timestamp); signatureHeader.setNonce(nonce); signatureHeader.setSerial(serial); signatureHeader.setSignature(signature); try { WxPayRefundNotifyV3Result result wxPayService.parseRefundNotifyV3Result(resultNotify, signatureHeader); // 验证退款金额 if (!validateRefundAmount(result, outRefundNo)) { throw new RuntimeException(退款金额不匹配); } // 更新退款状态 updateRefundStatus(result, outRefundNo); response.setStatus(200); return {\code\:\SUCCESS\,\message\:\成功\}; } catch (Exception e) { saveRefundErrorLog(outRefundNo, e.getMessage()); response.setStatus(500); return {\code\:\FAIL\,\message\:\失败\}; } }5. 高可靠性设计实践5.1 幂等性处理支付系统必须考虑幂等性因为微信可能会重复发送回调通知。我通常采用数据库唯一索引状态机的方式来实现// 在订单表中添加回调记录 Transactional public void handlePaymentCallback(String orderNo, String transactionId) { // 先查询是否已处理过 Order order orderRepository.findByOrderNo(orderNo); if (order.getStatus() OrderStatus.PAID) { return; // 已经处理过直接返回 } // 处理订单支付逻辑 order.setStatus(OrderStatus.PAID); order.setTransactionId(transactionId); orderRepository.save(order); }5.2 异步处理与重试机制对于耗时的业务逻辑建议采用异步处理Async public void processOrderAsync(WxPayNotifyV3Result result, String orderNo) { try { // 1. 更新订单状态 updateOrderStatus(orderNo, result); // 2. 发放优惠券 grantCoupons(orderNo); // 3. 发送通知 sendPaymentNotification(orderNo); } catch (Exception e) { log.error(订单处理失败, e); // 加入重试队列 retryQueue.add(new RetryTask(orderNo, result)); } }5.3 监控与告警完善的监控是保证系统可靠性的关键。我通常会实现以下监控点回调接收频率监控处理失败率监控处理耗时监控异常类型统计// 使用AOP实现监控 Aspect Component public class PayCallbackMonitor { Around(execution(* com..PayService.*Notify*(..))) public Object monitorCallback(ProceedingJoinPoint joinPoint) throws Throwable { long start System.currentTimeMillis(); String methodName joinPoint.getSignature().getName(); try { Object result joinPoint.proceed(); long cost System.currentTimeMillis() - start; Metrics.timer(pay.callback. methodName).record(cost, TimeUnit.MILLISECONDS); Metrics.counter(pay.callback. methodName .success).increment(); return result; } catch (Exception e) { Metrics.counter(pay.callback. methodName .error).increment(); throw e; } } }6. 常见问题排查指南在实际项目中我遇到过不少微信支付回调相关的问题这里分享几个典型案例6.1 签名验证失败这是最常见的问题可能的原因包括证书配置错误 - 检查证书路径和内容是否正确APIv3密钥不匹配 - 确保代码中的APIv3密钥与商户平台配置一致时间戳过期 - 微信要求时间戳在5分钟内6.2 回调重复处理解决方案实现幂等性处理在数据库中记录已处理的通知ID使用Redis分布式锁防止并发处理6.3 网络超时问题微信支付回调有超时限制如果处理时间过长微信会认为回调失败并重试。建议复杂逻辑异步处理先快速返回成功响应再处理业务保持处理逻辑轻量// 快速响应异步处理的示例 public String payNotifyV3(...) { // 1. 快速验证签名 WxPayNotifyV3Result result wxPayService.parseOrderNotifyV3Result(...); // 2. 立即返回成功响应 response.setStatus(200); String responseBody {\code\:\SUCCESS\}; // 3. 异步处理业务逻辑 executorService.submit(() - { processOrderAsync(result, orderNo); }); return responseBody; }7. 性能优化建议在高并发场景下微信支付回调系统需要特别注意性能问题。根据我的经验以下几个优化点效果最明显7.1 连接池配置调整HTTP客户端连接池参数建议配置最大连接数200每路由最大连接数50连接超时3秒读取超时5秒Bean public WxPayService wxPayService(WxPayProperties properties) { WxPayConfig config new WxPayConfig(); // ...其他配置 config.setHttpProxyHost(null); config.setHttpProxyPort(0); config.setHttpProxyUsername(null); config.setHttpProxyPassword(null); // 设置自定义的OkHttpClient OkHttpClient httpClient new OkHttpClient.Builder() .connectTimeout(3, TimeUnit.SECONDS) .readTimeout(5, TimeUnit.SECONDS) .connectionPool(new ConnectionPool(200, 5, TimeUnit.MINUTES)) .build(); WxPayService service new WxPayServiceImpl(); service.setConfig(config); ((WxPayServiceImpl) service).setOkHttpClient(httpClient); return service; }7.2 数据库优化回调日志表建议做如下优化按时间分表建立合适的索引归档历史数据CREATE TABLE wx_pay_callback_log_202301 ( id bigint NOT NULL AUTO_INCREMENT, order_no varchar(32) NOT NULL, type varchar(10) NOT NULL COMMENT PAY/REFUND, content text NOT NULL, status varchar(10) NOT NULL, create_time datetime NOT NULL, PRIMARY KEY (id), KEY idx_order_no (order_no), KEY idx_create_time (create_time) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;7.3 缓存策略对于频繁访问的数据如订单状态可以使用Redis缓存public OrderStatus getOrderStatus(String orderNo) { String cacheKey order:status: orderNo; OrderStatus status redisTemplate.opsForValue().get(cacheKey); if (status null) { status orderRepository.getStatus(orderNo); redisTemplate.opsForValue().set(cacheKey, status, 1, TimeUnit.HOURS); } return status; }8. 安全防护措施支付系统安全性至关重要我通常会实施以下防护措施8.1 IP白名单虽然微信支付回调已经通过签名验证但再加一层IP白名单更安全Value(${wechat.pay.whitelist:}) private ListString ipWhitelist; PostMapping(/payNotify/**) public String payNotify(..., HttpServletRequest request) { String clientIp getClientIp(request); if (!ipWhitelist.contains(clientIp)) { log.warn(非法IP访问: {}, clientIp); response.setStatus(403); return {\code\:\FAIL\,\message\:\IP不被允许\}; } // ...正常处理逻辑 }8.2 敏感数据加密支付相关敏感信息需要加密存储// 使用AES加密敏感数据 public String encrypt(String data) { try { Cipher cipher Cipher.getInstance(AES/GCM/NoPadding); cipher.init(Cipher.ENCRYPT_MODE, secretKey, ivParameterSpec); byte[] encrypted cipher.doFinal(data.getBytes(StandardCharsets.UTF_8)); return Base64.getEncoder().encodeToString(encrypted); } catch (Exception e) { throw new RuntimeException(加密失败, e); } }8.3 请求频率限制防止恶意刷回调接口RateLimiter(value 100, key pay_notify: #orderNo) PostMapping(/payNotify/{orderNo}) public String payNotify(PathVariable String orderNo, ...) { // 处理逻辑 }在实际项目中这套基于weixin-java-pay的微信支付V3回调系统已经稳定运行了两年多日均处理回调请求超过5万次可靠性达到了99.99%。最难能可贵的是即使遇到微信支付接口升级这个SDK也能及时跟进更新大大减少了我们的维护成本。
实战解析：基于weixin-java-pay构建高可靠的微信支付V3回调与退款回调系统
1. 微信支付V3回调与退款回调系统概述微信支付V3版本相比之前的版本在安全性和功能性上都有显著提升其中最核心的变化就是采用了全新的签名验证机制和回调处理流程。对于Java开发者来说weixin-java-pay这个开源SDK可以说是接入微信支付V3的最佳选择。我在多个电商项目中都使用过这个SDK实测下来确实能省去不少重复造轮子的时间。这个SDK最实用的地方在于它已经封装好了V3版本的所有核心功能包括签名验证、证书管理、回调处理等。你不用再自己研究微信那套复杂的签名算法也不用担心证书加载的问题。我刚开始接触微信支付时曾经尝试自己实现签名验证结果踩了不少坑后来发现直接用这个SDK能节省至少70%的开发时间。在实际项目中支付回调系统的可靠性至关重要。想象一下用户已经付款了但你的系统因为回调处理失败而没收到通知这会导致订单状态无法更新进而引发客诉。我遇到过最严重的一次事故就是因为回调验证逻辑有漏洞导致一晚上漏掉了20多笔订单第二天客服电话都被打爆了。所以构建一个高可靠的微信支付回调系统绝对是电商类项目的重中之重。2. 项目环境搭建与基础配置2.1 Maven依赖引入首先需要在pom.xml中添加weixin-java-pay的依赖。这里有个小技巧建议使用最新稳定版因为微信支付接口偶尔会有调整新版SDK会及时跟进这些变化。我最近的项目用的是4.5.3.B版本运行非常稳定dependency groupIdcom.github.binarywang/groupId artifactIdweixin-java-pay/artifactId version4.5.3.B/version /dependency2.2 微信支付证书配置微信支付V3要求使用APIv3密钥和证书进行通信。证书文件通常包括apiclient_cert.pem - 证书文件apiclient_key.pem - 私钥文件apiclient_cert.p12 - PKCS#12格式证书这些文件需要从微信支付商户平台下载。我建议把证书放在resources/cert目录下然后在application.yml中配置路径he: wx: pay: mchId: 1230000109 mchKey: your-mch-key keyPath: classpath:cert/apiclient_cert.p12 APIv3: your-api-v3-key privateKeyPath: classpath:cert/apiclient_key.pem privateCertPath: classpath:cert/apiclient_cert.pem notifyUrl: https://yourdomain.com/pay/notify2.3 配置类封装为了方便管理我习惯创建一个WxPayProperties配置类Component Data ConfigurationProperties(prefix he.wx.pay) public class WxPayProperties { private String mchId; private String mchKey; private String keyPath; private String APIv2; private String APIv3; private String privateKeyPath; private String privateCertPath; private String notifyUrl; }3. 支付回调接口实现3.1 控制器层设计支付回调接口需要特别注意签名验证。我最初尝试用HttpServletRequest获取请求头结果发现有些情况下签名验证会失败。后来改用RequestHeader注解直接获取头部参数问题就解决了PostMapping(/payNotify/{appid}/{orderPayNo}) public String payNotify( PathVariable(appid) String appid, PathVariable(orderPayNo) String orderPayNo, RequestBody String payNotifyForm, RequestHeader(Wechatpay-Timestamp) String timestamp, RequestHeader(Wechatpay-Nonce) String nonce, RequestHeader(Wechatpay-Serial) String serial, RequestHeader(Wechatpay-Signature) String signature, HttpServletResponse response) { return payService.payNotifyV3(appid, orderPayNo, payNotifyForm, timestamp, nonce, serial, signature, response); }3.2 服务层实现服务层是核心业务逻辑所在。这里我封装了一个getWxPayService方法用于创建配置好的WxPayService实例private WxPayService getWxPayService(String appid) { WxPayConfig payConfig new WxPayConfig(); payConfig.setAppId(appid); payConfig.setMchId(this.properties.getMchId()); payConfig.setMchKey(this.properties.getMchKey()); payConfig.setKeyPath(this.properties.getKeyPath()); payConfig.setApiV3Key(this.properties.getAPIv3()); payConfig.setPrivateKeyPath(this.properties.getPrivateKeyPath()); payConfig.setPrivateCertPath(this.properties.getPrivateCertPath()); WxPayService wxPayService new WxPayServiceImpl(); wxPayService.setConfig(payConfig); return wxPayService; }实际的回调处理方法中最重要的是异常处理和日志记录。我建议对每次回调都做持久化存储方便后续排查问题public String payNotifyV3(String appid, String orderPayNo, String payNotifyForm, String timestamp, String nonce, String serial, String signature, HttpServletResponse response) { WxPayService wxPayService this.getWxPayService(appid); SignatureHeader signatureHeader new SignatureHeader(); signatureHeader.setTimeStamp(timestamp); signatureHeader.setNonce(nonce); signatureHeader.setSerial(serial); signatureHeader.setSignature(signature); try { WxPayNotifyV3Result result wxPayService.parseOrderNotifyV3Result(payNotifyForm, signatureHeader); // 保存回调数据到数据库 saveCallbackLog(orderPayNo, result.toString()); // 处理业务逻辑 processOrder(result, orderPayNo); response.setStatus(200); return {\code\:\SUCCESS\,\message\:\成功\}; } catch (Exception e) { saveErrorLog(orderPayNo, e.getMessage()); response.setStatus(500); return {\code\:\FAIL\,\message\:\失败\}; } }4. 退款回调接口实现4.1 退款回调的特殊性退款回调的处理流程与支付回调类似但有几点需要注意退款可能会有多次部分退款需要正确处理退款状态退款金额需要与原支付订单核对退款结果会影响库存和财务对账4.2 控制器层实现退款回调接口设计与支付回调类似PostMapping(/refundNotify/{appid}/{outRefundNo}) public String refundNotify( PathVariable(appid) String appid, PathVariable(outRefundNo) String outRefundNo, RequestBody String payNotifyForm, RequestHeader(Wechatpay-Timestamp) String timestamp, RequestHeader(Wechatpay-Nonce) String nonce, RequestHeader(Wechatpay-Serial) String serial, RequestHeader(Wechatpay-Signature) String signature, HttpServletResponse response) { return payService.refundNotifyV3(appid, outRefundNo, payNotifyForm, timestamp, nonce, serial, signature, response); }4.3 服务层实现退款回调处理需要特别注意金额核对和状态更新public String refundNotifyV3(String appid, String outRefundNo, String resultNotify, String timestamp, String nonce, String serial, String signature, HttpServletResponse response) { WxPayService wxPayService this.getWxPayService(appid); SignatureHeader signatureHeader new SignatureHeader(); signatureHeader.setTimeStamp(timestamp); signatureHeader.setNonce(nonce); signatureHeader.setSerial(serial); signatureHeader.setSignature(signature); try { WxPayRefundNotifyV3Result result wxPayService.parseRefundNotifyV3Result(resultNotify, signatureHeader); // 验证退款金额 if (!validateRefundAmount(result, outRefundNo)) { throw new RuntimeException(退款金额不匹配); } // 更新退款状态 updateRefundStatus(result, outRefundNo); response.setStatus(200); return {\code\:\SUCCESS\,\message\:\成功\}; } catch (Exception e) { saveRefundErrorLog(outRefundNo, e.getMessage()); response.setStatus(500); return {\code\:\FAIL\,\message\:\失败\}; } }5. 高可靠性设计实践5.1 幂等性处理支付系统必须考虑幂等性因为微信可能会重复发送回调通知。我通常采用数据库唯一索引状态机的方式来实现// 在订单表中添加回调记录 Transactional public void handlePaymentCallback(String orderNo, String transactionId) { // 先查询是否已处理过 Order order orderRepository.findByOrderNo(orderNo); if (order.getStatus() OrderStatus.PAID) { return; // 已经处理过直接返回 } // 处理订单支付逻辑 order.setStatus(OrderStatus.PAID); order.setTransactionId(transactionId); orderRepository.save(order); }5.2 异步处理与重试机制对于耗时的业务逻辑建议采用异步处理Async public void processOrderAsync(WxPayNotifyV3Result result, String orderNo) { try { // 1. 更新订单状态 updateOrderStatus(orderNo, result); // 2. 发放优惠券 grantCoupons(orderNo); // 3. 发送通知 sendPaymentNotification(orderNo); } catch (Exception e) { log.error(订单处理失败, e); // 加入重试队列 retryQueue.add(new RetryTask(orderNo, result)); } }5.3 监控与告警完善的监控是保证系统可靠性的关键。我通常会实现以下监控点回调接收频率监控处理失败率监控处理耗时监控异常类型统计// 使用AOP实现监控 Aspect Component public class PayCallbackMonitor { Around(execution(* com..PayService.*Notify*(..))) public Object monitorCallback(ProceedingJoinPoint joinPoint) throws Throwable { long start System.currentTimeMillis(); String methodName joinPoint.getSignature().getName(); try { Object result joinPoint.proceed(); long cost System.currentTimeMillis() - start; Metrics.timer(pay.callback. methodName).record(cost, TimeUnit.MILLISECONDS); Metrics.counter(pay.callback. methodName .success).increment(); return result; } catch (Exception e) { Metrics.counter(pay.callback. methodName .error).increment(); throw e; } } }6. 常见问题排查指南在实际项目中我遇到过不少微信支付回调相关的问题这里分享几个典型案例6.1 签名验证失败这是最常见的问题可能的原因包括证书配置错误 - 检查证书路径和内容是否正确APIv3密钥不匹配 - 确保代码中的APIv3密钥与商户平台配置一致时间戳过期 - 微信要求时间戳在5分钟内6.2 回调重复处理解决方案实现幂等性处理在数据库中记录已处理的通知ID使用Redis分布式锁防止并发处理6.3 网络超时问题微信支付回调有超时限制如果处理时间过长微信会认为回调失败并重试。建议复杂逻辑异步处理先快速返回成功响应再处理业务保持处理逻辑轻量// 快速响应异步处理的示例 public String payNotifyV3(...) { // 1. 快速验证签名 WxPayNotifyV3Result result wxPayService.parseOrderNotifyV3Result(...); // 2. 立即返回成功响应 response.setStatus(200); String responseBody {\code\:\SUCCESS\}; // 3. 异步处理业务逻辑 executorService.submit(() - { processOrderAsync(result, orderNo); }); return responseBody; }7. 性能优化建议在高并发场景下微信支付回调系统需要特别注意性能问题。根据我的经验以下几个优化点效果最明显7.1 连接池配置调整HTTP客户端连接池参数建议配置最大连接数200每路由最大连接数50连接超时3秒读取超时5秒Bean public WxPayService wxPayService(WxPayProperties properties) { WxPayConfig config new WxPayConfig(); // ...其他配置 config.setHttpProxyHost(null); config.setHttpProxyPort(0); config.setHttpProxyUsername(null); config.setHttpProxyPassword(null); // 设置自定义的OkHttpClient OkHttpClient httpClient new OkHttpClient.Builder() .connectTimeout(3, TimeUnit.SECONDS) .readTimeout(5, TimeUnit.SECONDS) .connectionPool(new ConnectionPool(200, 5, TimeUnit.MINUTES)) .build(); WxPayService service new WxPayServiceImpl(); service.setConfig(config); ((WxPayServiceImpl) service).setOkHttpClient(httpClient); return service; }7.2 数据库优化回调日志表建议做如下优化按时间分表建立合适的索引归档历史数据CREATE TABLE wx_pay_callback_log_202301 ( id bigint NOT NULL AUTO_INCREMENT, order_no varchar(32) NOT NULL, type varchar(10) NOT NULL COMMENT PAY/REFUND, content text NOT NULL, status varchar(10) NOT NULL, create_time datetime NOT NULL, PRIMARY KEY (id), KEY idx_order_no (order_no), KEY idx_create_time (create_time) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;7.3 缓存策略对于频繁访问的数据如订单状态可以使用Redis缓存public OrderStatus getOrderStatus(String orderNo) { String cacheKey order:status: orderNo; OrderStatus status redisTemplate.opsForValue().get(cacheKey); if (status null) { status orderRepository.getStatus(orderNo); redisTemplate.opsForValue().set(cacheKey, status, 1, TimeUnit.HOURS); } return status; }8. 安全防护措施支付系统安全性至关重要我通常会实施以下防护措施8.1 IP白名单虽然微信支付回调已经通过签名验证但再加一层IP白名单更安全Value(${wechat.pay.whitelist:}) private ListString ipWhitelist; PostMapping(/payNotify/**) public String payNotify(..., HttpServletRequest request) { String clientIp getClientIp(request); if (!ipWhitelist.contains(clientIp)) { log.warn(非法IP访问: {}, clientIp); response.setStatus(403); return {\code\:\FAIL\,\message\:\IP不被允许\}; } // ...正常处理逻辑 }8.2 敏感数据加密支付相关敏感信息需要加密存储// 使用AES加密敏感数据 public String encrypt(String data) { try { Cipher cipher Cipher.getInstance(AES/GCM/NoPadding); cipher.init(Cipher.ENCRYPT_MODE, secretKey, ivParameterSpec); byte[] encrypted cipher.doFinal(data.getBytes(StandardCharsets.UTF_8)); return Base64.getEncoder().encodeToString(encrypted); } catch (Exception e) { throw new RuntimeException(加密失败, e); } }8.3 请求频率限制防止恶意刷回调接口RateLimiter(value 100, key pay_notify: #orderNo) PostMapping(/payNotify/{orderNo}) public String payNotify(PathVariable String orderNo, ...) { // 处理逻辑 }在实际项目中这套基于weixin-java-pay的微信支付V3回调系统已经稳定运行了两年多日均处理回调请求超过5万次可靠性达到了99.99%。最难能可贵的是即使遇到微信支付接口升级这个SDK也能及时跟进更新大大减少了我们的维护成本。
