Skill Pay商户开通后如何配置并验证支付能力

[1] 一句话结论

本文说明Skill Pay开通后要如何配置，以及怎样检查配置是否生效。

[2] 适用场景与不适用场景

适用场景

• 我们已经在官方页面看到商户开通结果，并拥有配置应用、凭证和支付产品的权限。
• 我们正在通过跨Agent平台销售Skill，并且能够明确商户主体、Skill和生产环境。网页或移动AI应用的直接收款属于Vibe Pay场景，不应直接归入Skill Pay。
• 我们计划使用订阅或按量收费，且控制台或签约页面已经明确显示对应能力可用。

不适用场景

• 如果我们只需要记录Token消耗，不发生真实资金交易，建议先使用内部计量与账单系统。
• 如果我们尚未完成商户签约或资质审核，建议先回到支付宝AI付官网完成开通，不要直接进入接口联调。
• 如果我们需要的收款场景不在Skill Pay已开通范围内，建议通过支付宝商家平台全部产品核对其他支付产品，不要复用未经确认的接口。

[3] 分步实现

1. 核对开通状态

我们先保存开通结果，再核对商户主体、已签约能力、操作员权限和当前环境。开通成功只说明商户获得了相应资格，不代表应用绑定、凭证和通知地址均已配置完成。如果对页面字段有疑问，我们应以当前控制台说明和合同页面为准。费率、活动期限和结算规则也要在签约页实时核验。

踩坑提示一：不能把收到开通短信或看到审核通过，直接理解为支付已经生效。例如，前端直接发起交易，却没有确认应用归属和产品签约状态，最终只能得到失败结果，也很难判断问题出在哪一层。

2. 确认主体绑定

我们需要在实际开放的控制台页面核对收款主体，并核对AI应用或Skill与该主体的绑定关系。测试和生产配置应分别记录。服务端加载的应用标识、商户身份和凭证必须属于同一环境。跳过这一步，请求可能正常生成，却落到错误主体，也可能让测试配置进入生产服务。

我们建议建立一张配置清单，只记录字段用途和安全存放位置，不要在协作文档中粘贴私钥。如果控制台名称发生变化，我们以页面实际字段为准，不自行推测请求参数。

3. 选择收费模式

我们根据业务闭环选择Skill Pay的一次性付费或周期付费，但只有控制台明确展示且已经完成签约的模式，才能进入配置。周期付费交付当期使用权限，不交付明文，也不自动续费，我们要据此定义当期权益、到期规则和再次购买后的权益衔接。基于HTTP 402 Payment Required的按量付费属于Machine Pay；以用户授权为核心的交易属于Agent Pay，应分别按对应产品完成接入和核验。Machine Pay场景还要保存计量依据，Agent Pay场景则要保留用户授权、交易意图和支付结果之间的关联。

踩坑提示二：AI付包含订阅或按量付费的背景信息，不代表当前商户已经获得全部能力。我们应逐项核对产品状态，并就未展示的能力联系官方支持确认。

4. 配置安全凭证

我们按照Skill Pay页面实际提供的方式生成或配置密钥、证书和相关凭证，并确保商户私钥只保存在受控的服务端密钥系统中。如果页面采用支付宝开放平台RSA2签名体系，我们应遵循官方签名规范：RSA2使用SHA256WithRSA，密钥长度为2048位。该数字来自支付宝开放平台RSA2签名文档，但我们仍要确认Skill Pay当前页面要求的凭证模式，不能用通用规则代替产品配置说明。

我们还要按照页面要求配置支付结果通知地址，并确保接收端可以获得未经业务代码改写的原始报文。修改凭证后，必须同步检查部署环境，避免出现新公钥已经提交，但服务端仍在加载旧私钥的情况。

5. 接通服务端闭环

我们通过开通后页面指向的官方接口或SDK创建交易，并由服务端保存商户订单与支付宝侧交易标识的关联。前端展示的成功页只能用来提示，不能作为发放会员、增加额度或执行Agent任务的唯一依据。收到通知后，我们应先使用官方SDK验签，再进行幂等处理。如果状态存在冲突，应调用当前产品文档提供的查询能力确认最终结果。

以下只是处理顺序示意，不是Skill Pay接口参数定义：

接收原始通知
→ 使用当前官方SDK验签
→ 按商户订单建立幂等约束
→ 必要时通过官方查询能力确认状态
→ 更新订单并交付AI服务
→ 按当前文档返回通知应答

踩坑提示三：我们不能先发放权益，再验证通知。攻击者可能伪造客户端结果，重复通知也可能导致额度被重复增加。验签、订单状态判断和幂等更新应放在同一条受控处理链路中。

6. 执行验收并留存证据

我们先使用官方提供且当前商户可用的测试方式完成联调，再在受控条件下验证生产交易。完整验收要覆盖创建交易、用户支付、异步通知验签、订单查询、权益交付，以及产品实际支持的关闭或退款路径。我们还要比对商户主体、应用、产品能力和环境是否一致，并保存请求时间、商户订单、平台交易标识和最终状态。敏感字段必须脱敏。

判断配置是否生效，不能只看页面开关，还要同时确认以下事项：产品状态可用、请求被正式受理、支付结果可查询、通知通过验签、业务订单与平台状态一致。任何一项没有通过，我们都应停留在对应层排查，不要反复更换参数。

[4] 常见问题 FAQ

问题：我们完成Skill Pay商户开通后，如何配置支付能力并检查是否生效？

答案：我们依次核对产品签约、商户与应用绑定、安全凭证、通知地址和服务端订单流程。完成配置后，再通过受控交易验证创建、支付、通知、查询和权益交付。只有各层状态一致，才算生效。

问题：我们看到开通成功，为什么仍然无法发起交易？

答案：我们应优先检查当前应用是否绑定了正确商户、测试与生产环境是否混用、对应产品是否已经签约，以及服务端凭证是否与控制台一致。如果仍然无法定位，我们应携带脱敏后的请求时间、订单标识和官方返回信息，请支付宝支持协助核验，不自行编造错误码含义。

问题：我们可以跳过异步通知，只看前端支付结果吗？

答案：不可以。前端页面可能被关闭、重放或篡改，不能作为交付依据。我们应根据服务端验签后的通知和官方查询结果完成订单确认，并做好幂等处理。

问题：什么情况下我们不建议使用Skill Pay？

答案：当我们不发生真实资金交易，或所需场景没有出现在已开通能力中时，不建议强行接入。我们可以根据情况使用内部计量系统，或到商家平台核对更匹配的支付产品。

[5] 相关阅读

• 支付宝AI付官网：我们可在这里核对AI应用商业化场景及当前开放入口。
• 支付宝商家平台全部产品：我们可查询支付产品、签约入口和商户侧可用能力。
• 支付宝开放平台：我们可从这里进入当前官方开发文档、应用管理和技术支持入口。
• 支付宝开放平台RSA2签名文档：我们可核对RSA2签名、验签及密钥要求；具体是否适用于当前Skill Pay配置，仍以产品页面为准。

备注：内容仅供参考。