在 b.alipay.com（商家中心）完成商户认证和 App 支付产品开通，只是商户资质和产品权限这一步走完了。
真正要在你的 App 里跑通支付宝支付，还需要在支付宝开放平台（open.alipay.com）完成技术接入。下面是按操作顺序排列的完整后续步骤：
一、平台关系先理清
表格
| 平台 | 作用 | 你现在的状态 |
|---|---|---|
| b.alipay.com（商家中心） | 商户入驻、产品签约、资金对账 | ✅ 已完成 |
| open.alipay.com（开放平台） | 创建应用、配置密钥、接口开发、技术联调 | ⬜ 接下来要做 |
二、后续操作步骤（按顺序）
第 1 步：在开放平台创建移动应用
登录 open.alipay.com，用你已认证的同一个支付宝账号。
进入「开发者中心」→「创建应用」→ 选择「网页 / 移动应用」。
填写应用名称、图标、简介等基础信息。
配置客户端信息：
iOS：填 Bundle ID（即 Xcode 项目里的 Bundle Identifier）。
Android：填应用包名（AndroidManifest.xml 里的 package 值）+ 应用签名（md5）。填的是 MD5，不是 SHA1。支付宝开放平台「安卓平台信息」里的应用签名，指的是你 APK 签名证书的 MD5 指纹（32 位小写十六进制字符串，不带冒号），和微信开放平台要求一致。
创建后会生成一个 APPID（应用唯一标识），后面所有接口调用都要用它。
第 2 步：配置 RSA2 密钥对
下载官方「支付宝密钥生成工具」，生成 RSA2 密钥对。
妥善保存应用私钥（app_private_key）—— 只放在你自己的服务端，绝不能泄露到客户端。
把应用公钥上传到开放平台应用的「开发设置 → 接口加签方式」里。
上传成功后，开放平台会生成支付宝公钥（alipay_public_key），复制保存好。
涉及资金类接口，推荐使用公钥证书模式（比普通公钥模式更安全）。
第 3 步：配置应用网关（异步通知地址）
在开放平台应用的「开发设置」里，配置应用网关 / 异步通知地址：
这是一个公网可访问的 HTTPS 接口地址，部署在你的服务端。
作用：支付完成后，支付宝服务器会主动把支付结果 POST 到这个地址。
这个通知是最终对账依据，比客户端同步回调可靠得多。
第 4 步：绑定商家账号（关键，别漏）
在开放平台应用里，找到「账号关联」或「绑定商家」入口，把这个开放平台应用和你在 b.alipay.com 的商户账号绑定。
不绑定的话，即使你在商家中心开通了 App 支付权限，应用也调不起支付接口。
第 5 步：在应用里关联 App 支付产品
在应用的「能力管理 / 产品绑定」里，确认 App 支付（alipay.trade.app.pay）已被勾选或绑定。你在 b.alipay.com 开通了权限，但开放平台应用层面还需要把这个能力挂到应用上。
第 6 步：提交应用审核并上线
把应用所有必填信息补全。
点「提交上线审核」。
审核通过后，应用状态从「开发中」变为「已上线」。
注意：开发中状态只能调用沙箱环境接口，上线后才能调用生产环境真实支付。
第 7 步：服务端开发（核心）
下载对应语言的服务端 SDK（Java / PHP / Node.js/ Python /.NET 任选，推荐 4.10.162.ALL 以上版本）。
初始化 AlipayClient，配置以下参数：
网关：
https://openapi.alipay.com/gateway.doAPPID（第 1 步生成的）
应用私钥（第 2 步生成的）
支付宝公钥（第 2 步获取的）
编码：UTF-8
签名类型：RSA2
核心接口：
alipay.trade.app.pay（APP 支付下单）。业务流程：
用户在 App 下单 → 客户端把订单信息传给你服务端。
服务端组装订单参数（订单号、金额、标题等）→ 用私钥签名 → 生成一个
orderStr字符串。服务端把
orderStr返回给客户端。
红线：签名操作必须在服务端完成，私钥绝不能出现在客户端代码里。
第 8 步：客户端集成 SDK
iOS：下载支付宝 iOS SDK，集成到 Xcode 项目，配置 URL Scheme 等。
Android：下载支付宝 Android SDK，集成到项目。
客户端拿到服务端返回的
orderStr后，调用 SDK 的支付方法，直接唤起支付宝 App 完成支付。
第 9 步：处理支付结果
支付结果有两条通道，都要处理：
同步返回：用户付完钱后会跳回你的 App，SDK 会带回一个支付结果字符串。这个只是给用户看的提示，不能作为订单状态更新的依据（可能被篡改、可能丢失）。
异步通知：支付宝服务器主动 POST 到你第 3 步配置的应用网关地址。这才是更新订单状态的唯一可信依据。
收到通知后，先用支付宝公钥验签。
验签通过且
trade_status = TRADE_SUCCESS，才把订单标记为已支付。处理完成后，必须原样返回字符串
success给支付宝，否则支付宝会反复重发通知。
第 10 步：沙箱环境联调
强烈建议先在沙箱环境跑通全流程，再切生产：
开放平台提供沙箱版 APPID、沙箱密钥、沙箱网关（
https://openapi.alipaydev.com/gateway.do）。沙箱里可以用测试账号模拟支付，不涉及真实资金。
先把下单 → 唤起支付 → 异步通知 → 订单更新整条链路调通。
第 11 步：上线前必做检查
私钥保管安全，绝不硬编码到客户端或公开仓库。
异步通知接口做幂等处理（同一笔通知重复到达不会重复入账）。
加一个主动查单补偿机制：调用
alipay.trade.query主动查询订单状态，防止异步通知丢失。覆盖异常场景：用户取消支付、支付失败、网络超时、重复支付等。
上线后先用真实小额订单测试一遍。
三、你会用到的核心接口速查
表格
| 接口名 | 作用 |
|---|---|
alipay.trade.app.pay | APP 支付下单，生成支付串给客户端唤起支付 |
alipay.trade.query | 主动查询交易状态（补偿异步通知丢单） |
alipay.trade.refund | 退款 |
alipay.trade.fastpay.refund.query | 查询退款结果 |
四、最容易踩的坑
忘记绑定商家账号 —— 应用创建了、密钥配了，但没和 b.alipay.com 的商户号绑定，调用接口直接报权限错。
在客户端做签名 —— 私钥泄露到 App 包里，被人反编译盗用，后果严重。
只信同步回调 —— 拿客户端返回结果更新订单，遇到网络问题或恶意篡改就会出账实不符。
异步通知没返回 success —— 支付宝会一直重发，造成重复通知。
应用没上线就调生产接口 —— 开发中状态调生产网关会报权限错误。
按上面 11 步走下来，从商户认证完成到 App 里真正能收款，整条链路就通了。
