统一码支付接口说明

接口约定

接口域名使用你的码支付实际部署域名。生产环境建议始终使用 HTTPS，并从业务服务器发起需要商户密钥的请求。

页面跳转支付

适合网站前台提交支付表单。接口验证商户、签名、回调地址和支付通道后创建平台订单，并重定向到收银台。

POST /submit.php
Content-Type: application/x-www-form-urlencoded

pid=1000&type=alipay&out_trade_no=ORDER001&money=9.90&name=会员充值&...

服务端接口支付

参数规则与页面跳转支付一致，但不会直接跳转页面，而是返回平台订单号、实际支付金额、二维码内容、支付链接和收银台地址，适合业务后端自行决定展示方式。

{
  "code": 1,
  "msg": "请求成功",
  "trade_no": "平台订单号",
  "out_trade_no": "ORDER001",
  "money": "9.90",
  "truemoney": "9.90",
  "fee": "0.00",
  "qrcode": "二维码内容或地址",
  "pay_url": "支付跳转地址",
  "cashier_url": "统一收银台地址",
  "expires_at": 1780000000
}

订单查询

POST /api.php?act=order
Content-Type: application/x-www-form-urlencoded

act=order&id=1000&key=你的商户密钥&out_trade_no=ORDER001

返回订单的支付类型、订单号、原始金额、实际支付金额、手续费、状态、创建时间和支付完成时间等字段。出于安全考虑，商户 KEY 应只从服务端通过 POST 传递，避免进入浏览器历史和访问日志。

支付结果异步通知

订单确认支付成功后，系统向商户 notify_url 发送 POST 通知。主要字段如下：

pid=1000
trade_no=平台订单号
out_trade_no=ORDER001
type=alipay
name=会员充值
money=9.90
trade_status=TRADE_SUCCESS
attach=user_10086
sign=...
sign_type=MD5

商户完成验签和业务处理后，必须返回纯文本：

success

MD5 签名规则

1. 将所有需要提交的参数组成数组。
2. 移除 sign、sign_type，并排除空字符串、null 和数组值。
3. 按参数名称升序排列。
4. 拼接为 key=value&key2=value2。
5. 在拼接结果末尾直接追加商户 API KEY，不额外增加分隔符。
6. 计算 MD5，得到小写十六进制字符串。

canonical = "money=9.90&name=会员充值&out_trade_no=ORDER001&pid=1000&type=alipay..."
sign = md5(canonical + API_KEY)

新版 HMAC 接口

新项目可使用 /v1.php。认证信息放在请求头中，结合时间戳、nonce、请求方法、完整 URI 和原始请求体生成 HMAC-SHA256 签名，并对 nonce 做防重放处理。

创建订单

{
  "type": "alipay",
  "out_trade_no": "ORDER001",
  "notify_url": "https://merchant.example/notify",
  "return_url": "https://merchant.example/return",
  "name": "会员充值",
  "money": "9.90",
  "attach": "user_10086"
}

查询订单

常见错误与排查