结论

不需要把 POST 改成 GET。这个异常与 HTTP 请求方式无关。alipay-sdk 在验证支付宝响应签名时，没有从响应中取得 sign 字段，结果将 undefined 传给了 Node.js 的加密验证函数。

排查时应重点确认：

• 是否通过 alipaySdk.exec() 调用 alipay.trade.precreate
• alipayPublicKey 是否配置正确
• 网关、应用环境和密钥是否匹配
• 支付宝的实际响应中是否包含 sign
• SDK 版本是否兼容当前 Node.js 版本
• 响应是否被代理、网关或异常页面改写

推荐调用方式

alipay.trade.precreate 是普通 OpenAPI，直接使用 exec()，不要按网页跳转类接口的方式调用。

const AlipaySdk = require('alipay-sdk').default;

const alipaySdk = new AlipaySdk({
  appId: process.env.ALIPAY_APP_ID,
  privateKey: process.env.ALIPAY_PRIVATE_KEY,
  alipayPublicKey: process.env.ALIPAY_PUBLIC_KEY,
  gateway: 'https://openapi.alipay.com/gateway.do',
  signType: 'RSA2'
});

async function createTrade() {
  const result = await alipaySdk.exec('alipay.trade.precreate', {
    notify_url: 'https://example.com/alipay/notify',
    bizContent: {
      out_trade_no: 'ORDER_202609130001',
      total_amount: '0.01',
      subject: '测试订单'
    }
  });

  console.log(result);
}

createTrade().catch(console.error);

不同版本的 alipay-sdk 在导入方式、参数名称和返回值结构上可能有所不同，请以当前安装版本的说明为准。例如，有些版本使用 notifyUrl，再由 SDK 转换成支付宝要求的 notify_url。

如果当前版本支持显式指定请求方法，可以继续使用 POST：

const result = await alipaySdk.exec(
  'alipay.trade.precreate',
  {
    bizContent: {
      out_trade_no: 'ORDER_202609130001',
      total_amount: '0.01',
      subject: '测试订单'
    }
  },
  {
    method: 'POST'
  }
);

是否需要显式传入 method，取决于所用的 SDK 版本。将请求改成 GET，通常无法解决 signature 为 undefined 的问题。

检查支付宝公钥配置

alipayPublicKey 中应填写支付宝公钥，不能填写应用公钥或应用私钥：

const alipaySdk = new AlipaySdk({
  appId: '你的应用 APPID',
  privateKey: '应用私钥',
  alipayPublicKey: '支付宝公钥',
  signType: 'RSA2'
});

常见的配置错误有：

• 将应用公钥填入 alipayPublicKey
• 使用了另一套应用对应的支付宝公钥
• 混用了沙箱环境和正式环境的密钥
• 应用配置为 RSA2，代码却使用 RSA
• 从环境变量读取密钥时，变量实际为空
• PEM 内容中的换行符没有正确还原

如果密钥保存在环境变量中，可以先还原转义的换行符：

const privateKey = process.env.ALIPAY_PRIVATE_KEY?.replace(/\\n/g, '\n');
const alipayPublicKey =
  process.env.ALIPAY_PUBLIC_KEY?.replace(/\\n/g, '\n');

if (!privateKey) {
  throw new Error('ALIPAY_PRIVATE_KEY 未配置');
}

if (!alipayPublicKey) {
  throw new Error('ALIPAY_PUBLIC_KEY 未配置');
}

不要将完整私钥写入日志。

检查环境和网关是否匹配

正式环境通常使用：

https://openapi.alipay.com/gateway.do

沙箱环境通常使用：

https://openapi-sandbox.dl.alipaydev.com/gateway.do

应用 appId、应用私钥、支付宝公钥和网关必须属于同一个环境。混用这些配置后，支付宝可能返回错误内容。有些 SDK 版本不能妥善处理没有签名的错误响应，还会继续触发 ERR_INVALID_ARG_TYPE，导致真正的接口错误被掩盖。

查看原始响应

遇到这个异常时，不要急着关闭验签。先确认支付宝究竟返回了什么。正常响应通常包含业务响应节点和顶层的 sign：

{
  "alipay_trade_precreate_response": {
    "code": "10000",
    "msg": "Success",
    "out_trade_no": "ORDER_202609130001",
    "qr_code": "https://qr.alipay.com/..."
  },
  "sign": "..."
}

如果收到的是下面这些内容，SDK 就可能无法取得 sign：

• HTML 错误页面
• 代理服务器返回的 JSON
• 网络层错误信息
• 不含签名的异常响应
• 结构与 SDK 预期不符的响应
• 空响应或被截断的响应

可以开启当前 SDK 支持的调试日志，或在测试环境中抓取原始 HTTP 响应。不同版本提供的调试选项并不一致，不要直接假设某个固定配置项一定存在。

升级并核对 SDK 版本

旧版 alipay-sdk 可能没有正确处理响应中缺少 sign 的情况，最后只从底层抛出：

TypeError [ERR_INVALID_ARG_TYPE]: The "signature" argument ... Received undefined

先确认当前版本：

npm ls alipay-sdk
node --version

再根据项目的兼容性要求升级：

npm install alipay-sdk@latest

升级前需要确认新版本是否调整了导入方式、参数结构或返回值，以免引入不兼容变更。如果升级后出现了更明确的支付宝业务错误，再根据响应中的 code、sub_code 和 sub_msg 继续排查。

不建议直接关闭验签

有些 SDK 版本允许关闭响应验签。这个选项可以临时用于定位问题，但不适合作为生产环境的最终处理方式。响应验签用于确认数据确实来自支付宝，并验证内容是否完整。长期关闭后，这两项校验都会失效。

建议按以下顺序处理：

1. 使用 exec() 调用 alipay.trade.precreate。
2. 确认 appId、网关和密钥属于同一环境。
3. 确认 alipayPublicKey 填写的是支付宝公钥。
4. 检查原始响应是否包含顶层 sign。
5. 升级到与当前 Node.js 兼容的 SDK 版本。
6. 根据原始响应中的实际错误继续处理。

这个问题的原因是响应签名缺失，或 SDK 没有正确解析签名，并不是请求必须从 POST 改成 GET。

备注：内容仅供参考。