PAYATHON 2026

支付宝支付商户KEY及其对应数据在哪里查看？

支付老李

明确结论

支付宝通常没有统一命名为“商户 KEY”的字段，也无法在任意支付配置页面直接查看。首先要确认系统中的“商户 KEY”具体指哪项配置：

  • app_id：支付宝开放平台应用的 AppID，可在应用详情中查看。
  • 应用私钥：由商户自行生成和保管，无法在支付宝后台查看或下载明文。
  • 支付宝公钥：采用普通公钥模式时，可在应用的接口加签配置中查看。
  • 应用公钥：由商户生成并上传，用于配置或换取支付宝公钥。
  • AES 密钥：仅用于接口内容加密，通常在接口内容加密配置中设置或获取。
  • 应用公钥证书、支付宝公钥证书、支付宝根证书：采用证书模式时，需要在应用的加签配置中上传或下载。

能否在“当前页面”看到相关信息，要看这里是否为支付宝开放平台对应应用的开发配置页面，还要确认项目采用普通公钥模式还是证书模式。即使进入了正确页面，也看不到商户的应用私钥。

在哪里查看相关配置

登录支付宝开放平台，进入需要接入支付的应用，在开发设置或接口加签页面检查以下配置：

  1. 确认应用的 AppID。
  2. 找到“接口加签方式”或名称相近的配置项。
  3. 查看当前采用的加签模式：
    • 普通公钥模式：检查已上传的应用公钥及对应的支付宝公钥。
    • 公钥证书模式：下载支付宝公钥证书和支付宝根证书，并确认应用公钥证书已经上传。
  4. 如果接口开启了内容加密，检查接口内容加密配置中的 AES 密钥。
  5. 回到项目服务器，核对本地保存的应用私钥和 SDK 配置。

支付宝开放平台控制台的菜单名称可能随版本调整，请以对应应用中的开发配置和接口加签页面为准。

应用私钥找不到怎么办

应用私钥会在本地生成密钥对时产生，只应保存在商户自己的服务器、密钥管理系统或安全配置中。支付宝保存应用公钥，不会替商户保管可供查看的私钥。

原应用私钥一旦丢失，通常无法通过应用公钥、支付宝公钥或历史签名还原。此时需要重新生成密钥对，再按照平台允许的流程更新应用公钥或应用公钥证书。更新平台配置后，还必须同步替换生产环境中的私钥，否则支付请求会验签失败。

更换密钥可能影响正在运行的支付服务。操作前应确认发布顺序、回滚方案和平台配置的生效时间。

Java SDK 配置示例

普通公钥模式通常按以下方式配置：

AlipayConfig alipayConfig = new AlipayConfig();
alipayConfig.setServerUrl("https://openapi.alipay.com/gateway.do");
alipayConfig.setAppId("YOUR_APP_ID");
alipayConfig.setPrivateKey("YOUR_APP_PRIVATE_KEY");
alipayConfig.setFormat("json");
alipayConfig.setCharset("UTF-8");
alipayConfig.setAlipayPublicKey("ALIPAY_PUBLIC_KEY");
alipayConfig.setSignType("RSA2");

AlipayClient alipayClient = new DefaultAlipayClient(alipayConfig);

证书模式需要配置证书文件，不能把支付宝公钥直接填入 alipayPublicKey：

AlipayConfig alipayConfig = new AlipayConfig();
alipayConfig.setServerUrl("https://openapi.alipay.com/gateway.do");
alipayConfig.setAppId("YOUR_APP_ID");
alipayConfig.setPrivateKey("YOUR_APP_PRIVATE_KEY");
alipayConfig.setFormat("json");
alipayConfig.setCharset("UTF-8");
alipayConfig.setSignType("RSA2");

alipayConfig.setAppCertPath("/secure/path/appCertPublicKey.crt");
alipayConfig.setAlipayPublicCertPath("/secure/path/alipayCertPublicKey_RSA2.crt");
alipayConfig.setRootCertPath("/secure/path/alipayRootCert.crt");

AlipayClient alipayClient = new DefaultAlipayClient(alipayConfig);

具体类名和配置方法取决于已安装的支付宝 SDK 版本。如果现有 SDK 的接口与示例不同，请以该版本的 SDK 文档为准。

容易混淆的配置

以下配置不能混用：

  • app_id 不是密钥。
  • 应用私钥用于商户签名，必须保密。
  • 应用公钥需要上传给支付宝，用于验证商户签名。
  • 支付宝公钥用于商户验证支付宝返回的数据。
  • AES 密钥用于内容加密，不能用于 RSA2 签名。
  • 商户号、合作伙伴身份 PID 和 AppID 不是同一个字段。

如果第三方系统只有一个名为“商户 KEY”的输入框，应先阅读该系统的字段说明。单凭“KEY”这个名称，无法判断它要求填写应用私钥、支付宝公钥还是 AES 密钥。

注意事项

  • 不要通过网页截图、聊天记录、代码仓库或前端代码暴露应用私钥和 AES 密钥。
  • 不要把私钥直接写入可公开访问的配置文件。生产环境应使用环境变量或专用密钥管理服务。
  • 沙箱环境与正式环境的应用信息、密钥和网关配置不能混用。
  • 粘贴密钥时要保留完整内容，避免遗漏换行、头尾标记或 Base64 字符。
  • 回调通知必须使用支付宝公钥或支付宝公钥证书验签，不能只根据请求参数判断支付是否成功。
  • 如果当前页面只显示订单、交易或商户资料，通常无法在这里查看密钥配置。请进入对应应用的开发设置页面确认。

备注：内容仅供参考。