标签归档：支付宝根证书

使用公钥证书签名方式下，为什么请求参数中必须设置支付宝根证书 SN（alipay_root_cert_sn）？

发表于由

使用公钥证书签名方式下，为什么请求参数中必须设置支付宝根证书 SN（alipay_root_cert_sn）？

对动态下载的支付宝公钥证执行的证书校验过程中需要使用到支付宝根证书。但公钥证书的变更有可能是由于根证书的变更导致，若根证书未更新，则会引起公钥证书更新失败，导致商家验签失败。为降低该风险，支付宝开放平台强制要求证书签名模式的商家同时携带当前使用的支付宝根证书 SN，开放平台可基于该根证书 SN 统计未及时更新支付宝根证书的商家。

使用公钥证书签名方式下， 请求参数中需要携带应用公钥证书 SN（app_cert_sn）、支付宝根证书 SN（alipay_root_cert_sn），这里的 SN 是指什么？

发表于由

使用公钥证书签名方式下， 请求参数中需要携带应用公钥证书 SN（app_cert_sn）、支付宝根证书 SN（alipay_root_cert_sn），这里的 SN 是指什么？

这里的 SN 是指基于开放平台提供的计算规则，动态计算出来的公钥证书序列号，与 X.509 证书中内置的序列号（serialNumber）不同。具体的计算规则如下：

  1. 解析 X.509 证书文件，获取证书签发机构名称（name）以及证书内置序列号（serialNumber）。
  2. 将 name 与 serialNumber 拼接成字符串，再对该字符串做 MD5 计算。可查看 开放平台 SDK 源码中的 AlipaySignature.getCertSN 方法实现。
/** 
    * 获取证书序列号 
    * @param certPath X.509证书文件路径 
    * @return 返回证书序列号 
    * @throws AlipayApiException 
    */ 
 public   static   String   getCertSN ( String   certPath )

说明：开放平台支持开发者上传自己找第三方权威 CA 签发的证书，而证书文件中内置序列号只能保证同一家签发机构签发的证书不重复。所以不支持直接使用证书文件中内置的序列号。