第三方支付
一个完整的支付流程如下：
一. 用户在商户系统完成业务下单，进入收银台页面；
(1) 生成业务订单 [2] 扣减库存 （3）触发超时支付，订单取消消息 （4）返回业务订单号
二. 选择第三方支付通道（微信支付），业务后台将业务单信息传给第三方支付后台（微信后台），完成第三方平台预下单；
三. 拿到预下单结果后，收银台唤起微信交互页面，用户输密码确认支付；
四. 第三方支付平台（微信后台）完成支付逻辑，并异步通知业务后台，完成业务端逻辑。
第三方支付侧：
(1) 支付成功后，微信会把相关支付结果和用户信息发送给商户，商户需要接收处理，并返回应答。
(2) 如果微信收到商户的应答不是成功或超时，微信认为通知失败，微信会通过一定的策略定期重新发起通知，
尽可能提高通知的成功率，但微信不保证通知最终能成功，因此商户端需要定时去check两边待支付单子的状态。（通知频率为15/15/30/180/1800/1800/1800/1800/3600，单位：秒）
商户侧，回调通知接口对安全性要求极高：
（1）被通知接口幂等
（2）签名验证，商户系统对于支付结果通知的内容一定要做签名验证。
签名：商户后台和微信支付后台【根据相同的密钥和算法】生成一个结果，用于校验双方身份合法性。签名的算法由微信支付制定并公开，常用的签名方式有：MD5、SHA1、SHA256、HMAC等。
签名生成的通用步骤如下：
第一步，设所有发送或者接收到的数据为集合M，将集合M内非空参数值的参数按照参数名ASCII码从小到大排序（字典序），使用URL键值对的格式（即key1=value1&key2=value2…）拼接成字符串stringA。
特别注意以下重要规则：
- ◆ 参数名ASCII码从小到大排序（字典序）；
- ◆ 如果参数的值为空不参与签名；
- ◆ 参数名区分大小写；
- ◆ 验证调用返回或微信主动通知签名时，传送的sign参数不参与签名，将生成的签名与该sign值作校验。
- ◆ 微信接口可能增加字段，验证签名时必须支持增加的扩展字段
第二步，在stringA最后拼接上key得到stringSignTemp字符串，并对stringSignTemp进行MD5运算，再将得到的字符串所有字符转换为大写，得到sign值signValue。 注意：密钥的长度为32个字节。
◆ key设置路径：微信商户平台(pay.weixin.qq.com)-->账户中心-->账户设置-->API安全-->设置API密钥
举例：
假设传送的参数如下：
appid： wxd930ea5d5a258f4f
mch_id： 10000100
device_info： 1000
body： test
nonce_str： ibuaiVcKdpRxkhJA
第一步：对参数按照key=value的格式，并按照参数名ASCII字典序排序如下：
stringA="appid=wxd930ea5d5a258f4f&body=test&device_info=1000&mch_id=10000100&nonce_str=ibuaiVcKdpRxkhJA";
第二步：拼接API密钥：
MD5签名方式：
stringSignTemp=stringA+"&key=192006250b4c09247ec02edce69f6a2d" //注：key为商户平台设置的密钥key
sign=MD5(stringSignTemp).toUpperCase()="9A0A8659F005D6984697E2CA0A9CF3B7" //注：MD5签名方式
HMAC-SHA256签名方式：
stringSignTemp=stringA+"&key=192006250b4c09247ec02edce69f6a2d" //注：key为商户平台设置的密钥key
sign=hash_hmac("sha256",stringSignTemp,key).toUpperCase()="6A9AE1657590FD6257D693A078E1C3E4BB6BA4DC30B23E0EE2496E54170DACD6" //注：HMAC-SHA256签名方式，部分语言的hmac方法生成结果二进制结果，需要调对应函数转化为十六进制字符串。
最终得到最终发送的数据：
<xml>
<appid>wxd930ea5d5a258f4f</appid>
<mch_id>10000100</mch_id>
<device_info>1000</device_info>
<body>test</body>
<nonce_str>ibuaiVcKdpRxkhJA</nonce_str>
<sign>9A0A8659F005D6984697E2CA0A9CF3B7</sign>
</xml>
（3）金额校验，校验返回的订单金额是否与商户侧的订单金额一致，防止数据泄漏导致出现“假通知”，造成资金损失。
（4）并发控制，在对业务数据进行状态检查和处理之前，要采用数据锁进行并发控制，以避免函数重入造成的数据混乱。
H5网页支付流程:
H5支付是指商户在微信客户端外的移动端网页展示商品或服务，用户在前述页面确认使用微信支付时，商户发起本服务呼起微信客户端进行支付。
主要用于触屏版的手机浏览器请求微信支付的场景。可以方便的从外部浏览器唤起微信。
