微信支付验签排错指南｜签名失败常见原因与排查顺序 – MPForge
直接回答：微信支付报「签名错误」时，九成问题出在商户密钥或证书、签名字段排序、时间戳与字符编码上，而不是网络。这篇微信支付验签排错指南写给正在联调支付的开发：把下单签名与回调验签分清楚，按「对版本、对签名串、对证书、用官方工具复核、压测收尾」的顺序排，比东改西试快得多。MPForge（DEVDIY 旗下）联调支付时的第一条纪律就是：先打印待签名串，再谈别的。
一、先分清两条链路：下单签名与回调验签
结论先记住：下单签名是你签给微信看的，回调验签是微信签给你验的——方向相反，用的密钥也不同，混着查必然白费劲。
- 下单签名：你用商户 APIv2 密钥或 v3 私钥对下单参数签名，错一个字段排序就报签名错误。
- 回调验签：支付通知到你的服务端，你要用平台证书/平台公钥验微信的签名，拿商户密钥去验必然失败。
- 两边的证书体系：v3 用平台证书或公钥模式，v2 用商户密钥 MD5/HMAC，按商户实际配置走，勿混用签名算法。
判断标准很简单：报错发生在下单接口，查你的签名串；报错发生在回调处理，查平台证书与验签代码。
二、排查前的材料清单
结论先记住：没有原始报文和日志，验签问题全靠猜；四样材料备齐，一晚上能收工。
| 检查项 | 达标口径 | 常见错误 |
|---|---|---|
| 商户号与 AppID 绑定 | 绑定关系在后台截图确认，服务商模式记子商户号 | 换过商户号没同步，签名串里是旧号 |
| APIv2/v3 密钥或证书 | 版本、密钥、证书三者匹配，私钥只在服务端 | 密钥写进前端代码，或 v2/v3 密钥混用 |
| 回调原始报文样例 | 留存完整原始报文与 headers，脱敏后归档 | 只存了解析后的字段，没法复现 |
| 服务端日志（脱敏） | 待签名串、参与签名的字段值完整打印 | 日志里只有错误码，没有签名串 |
密钥管理的底线再强调一次：商户密钥、API 证书绝不能出现在前端，这条也是安全检测的必查项，口径见 小程序安全检测处理。
三、五步排查：从版本到压测
结论先记住：顺序是「对版本、对签名串、对证书、官方工具复核、压测」，跳步排查最容易来回打转。
- 确认 API 版本与文档一致：核对代码调用的 v2 还是 v3，签名算法、字段名与对应版本文档逐项对上。
- 打印待签名串对照：把参与签名的字符串原样打印，与官方示例逐字符比对——字段排序、空值处理、编码一眼见分晓。
- 检查回调验签与平台证书：确认回调用的是平台证书/公钥，证书在有效期内，报文没被代理层改动。
- 用官方验签工具复核：拿同样参数在官方工具里算一遍，工具通过、代码不通过，问题就在你的实现。
- 修完再压测并发：签名修复后补一轮并发测试，确认高并发下证书加载与时间戳没有新问题。
验收口径：下单、支付、回调、查单四步在测试环境连续通过，回调验签全绿，压测无偶发签名失败，才算收工。
四、高频翻车点：这四个都常见
结论先记住：验签翻车很少是玄学，几乎都能归到下面四类。
- 金额单位写错：微信支付的金额单位是分，传成元直接导致签名与金额校验连环报错，这是最高频的低级错。
- 只信前端支付成功：前端回调成功不代表到账，以服务端回调验签和查单结果为准，支付与订单状态流程 里有完整口径。
- 回调不验签直接处理：不验签的回调等于敞开门收假通知，必须验签后才改订单状态。
- 测试参数上生产：测试商户号、测试密钥发布到生产环境，报错还查不到原因——发版清单里加一条「支付参数核对」。
服务商模式的项目要多留意：子商户号、子 AppID 字段更容易漏，签名串里少一个必填字段就全盘报错。商户号的申请与绑定前提见 支付商户号申请要点。
五、长期运维：偶发失败与证书轮转
结论先记住：偶发签名失败大多与时钟同步和重放攻击防护有关，证书轮转要一年至少演练一次。
- 时钟同步进运维清单：服务器时间漂移会让时间戳相关签名偶发失败，NTP 同步纳入例行巡检。
- 回调与查单双保险：回调没收到或验签失败时，主动查单兜底，别让订单状态卡死。
- 证书轮转演练：平台证书会更新，提前做好自动下载与轮换，每年至少演练一次，别等旧证书失效才手忙脚乱。
- 日志脱敏归档：签名串日志保留脱敏版本，出问题时能复现，又不泄露密钥。
退款回调同样走验签，口径见 退款与售后流程要点。
六、常见问题 FAQ
APIv2 和 v3 怎么选？
按商户实际配置与接入口径走，两套密钥体系和签名算法完全不同，同一个项目里切勿混用；新接入优先 v3。
服务商模式要注意什么？
子商户号、子 AppID 等字段更容易漏传，签名串字段比普通模式多，建议用官方工具先跑通一单再进代码。
偶发签名失败怎么查？
先查服务器时钟同步，再查是否存在重放与并发下的证书加载问题；把失败请求的原始报文留住，对照复现。
支付验签和小程序 GEO 地理位置配置有关系吗？
没有关系。GEO 指地理位置配置：门店地址、经纬度、服务类目，用于「附近」检索展示，不是地域 SEO；支付验签属于商户与证书体系，两者互不相干。
签名错误报文能直接看出原因吗？
报文只告诉你「签名不对」，具体原因要靠打印待签名串逐字段比对；先看字段排序、空值与编码，再看密钥版本，最后才怀疑环境。
