微信小程序支付升级到V3版本后，许多开发者发现原本运行良好的支付逻辑突然失效，频繁抛出签名错误或敏感信息解密异常的警告。这并非偶然，而是因为V3版接口在安全机制上进行了全面重构。旧版接口通常采用MD5进行简单的参数签名，而V3版不仅要求使用非对称加密算法SHA256-RSA生成签名，还针对身份证、银行卡等敏感信息引入了基于微信支付平台公钥的RSA加密机制。理解这套新机制的工作原理，是解决签名报错问题的关键。
V3版签名算法的核心逻辑与生成步骤
V3版微信支付接口彻底废弃了MD5签名方式，转而采用更为安全的SHA256-RSA算法。这种非对称加密方式要求开发者使用商户私钥对待发送的数据进行签名，而微信服务器则使用对应的商户公钥进行验签。生成签名的第一步是构建待签名串。待签名串由五个部分组成，依次为HTTP请求方法（如POST）、请求的URL路径（如/v3/pay/transactions/jsapi）、当前时间戳、随机字符串以及请求报文主体。这五个部分之间必须使用换行符进行连接。
在组装待签名串时，最容易踩坑的地方在于换行符的处理和请求体的格式。许多开发者在拼接时遗漏了最后的换行符，或者请求体在传递过程中被框架隐式修改了格式，导致本地计算的签名与微信服务器收到的数据不一致。必须确保请求体是完整的JSON字符串，且在计算签名时与最终发送的报文完全一致。如果请求体为空，也需要用空字符串参与签名。待签名串组装完毕后，使用商户API私钥对其进行SHA256-RSA签名，并对结果进行Base64编码，最终得到签名值。
以下是使用Java语言生成V3签名的完整代码示例。在这个示例中，我们使用了内置的Signature类来完成签名操作。请注意，加载私钥时需要处理PKCS8格式的证书文件，路径如C:certapiclient_key.pem必须正确指向你的私钥文件。
// 构建待签名串
String message = buildMessage(httpMethod, url, timestamp, nonceStr, body);
// 加载私钥
PrivateKey privateKey = loadPrivateKey("C:\cert\apiclient_key.pem");
// 创建Signature对象
Signature sign = Signature.getInstance("SHA256withRSA");
sign.initSign(privateKey);
sign.update(message.getBytes(StandardCharsets.UTF_8));
// 生成签名并Base64编码
String signature = Base64.getEncoder().encodeToString(sign.sign());
敏感信息加密的具体实现与避坑指南
在微信小程序支付V3版本中，如果涉及到发放优惠券、实名认证等场景，往往需要传输身份证号、姓名等敏感信息。为了保障数据安全，这些信息不能明文传输，必须使用微信支付平台公钥进行加密。这里采用的是RSA-OAEP算法，填充方式为PKCS1Padding。很多开发者在这里混淆了加密密钥，错误地使用了商户自己的公钥或私钥进行加密，导致微信服务器无法解密。必须明确，敏感信息加密使用的是微信平台公钥，而签名使用的是商户私钥。
加密的具体流程是：首先获取微信支付平台证书中的公钥，然后初始化Cipher对象进行加密模式设置。将明文的敏感信息（如身份证号字符串）转换为字节数组后传入Cipher进行加密，最后将加密后的字节数组进行Base64编码，作为接口请求参数传递。需要注意的是，加密后的密文是一段看似无意义的Base64字符串。在传递时，必须确保这段密文没有被任何中间件或拦截器进行二次URL编码，否则会破坏密文的完整性。
下面是敏感信息加密的代码实现。在代码中，我们通过公钥字符串初始化Cipher对象，并对身份证号进行了加密处理。这里要特别提醒，每次调用接口前都要确认平台证书是否已经过期，微信平台会定期更换证书，如果证书过期，加密后的数据同样会被微信服务器拒绝。
// 加载微信平台公钥
PublicKey publicKey = loadPublicKey("微信平台公钥字符串");
// 初始化Cipher，使用RSA/ECB/PKCS1Padding算法
Cipher cipher = Cipher.getInstance("RSA/ECB/PKCS1Padding");
cipher.init(Cipher.ENCRYPT_MODE, publicKey);
// 待加密的敏感信息
String idCard = "110105199001011234";
// 执行加密并Base64编码
byte[] encryptedBytes = cipher.doFinal(idCard.getBytes(StandardCharsets.UTF_8));
String encryptedStr = Base64.getEncoder().encodeToString(encryptedBytes);
请求头组装与常见签名校验失败排查
生成签名和加密敏感信息后，最后一步是将这些数据组装到HTTP请求头中发送给微信服务器。V3版接口要求在请求头中添加Authorization字段，该字段的格式为固定前缀WECHATPAY2-SHA256-RSA2048加上签名信息。签名信息包含商户号、商户证书序列号以及生成的签名值。这里非常容易出错的一个点是商户证书序列号。这个序列号是微信支付商户证书的序列号，而不是平台证书的序列号，也不是商户号的纯数字。如果序列号填写错误，微信服务器将无法找到对应的公钥来验证签名，直接返回签名失败。
当遇到微信小程序支付提示签名错误时，排查步骤应该系统化进行。首先检查待签名串的拼接是否完全符合规范，特别是换行符的数量和位置。其次，检查本地计算的请求体与实际发送的请求体是否完全一致，有些HTTP客户端框架会自动添加或移除空格，导致签名串不匹配。接着，验证商户私钥是否正确加载，私钥文件是否被损坏。最后，检查时间戳，如果服务器时间与标准时间相差过大，微信服务器会认为请求过期而拒绝签名。
为了更高效地排查问题，建议在开发阶段将完整的待签名串、签名值以及请求头信息打印到日志中。微信官方也提供了签名校验工具，可以将本地的待签名串和签名值输入工具中，在线验证签名是否正确。通过这种对比方式，可以快速定位是签名算法实现有误，还是数据拼接出现了偏差。只要严格遵循V3版接口的规范，处理好每一个换行符和证书序列号，就能彻底解决签名错误和敏感信息加密的问题。