明确结论

支付流水的查询权限通常与发起支付时使用的商户身份和应用身份绑定。查询某笔支付时，应使用原支付请求对应的 APPID，以及相同的商户号、服务商号或子商户号。

一般不能用其他 APPID 直接查询这笔流水。如果能够查到，通常是因为两个应用属于同一商户主体、共用同一商户号，或服务商账号拥有跨应用查询权限。这不代表 APPID 可以随意替换。

实际权限边界取决于支付平台的权限模型和查询接口，不能根据某一次查询成功就作出判断。

为什么会绑定应用身份

支付平台查询流水时，通常不只检查交易单号，还会校验以下信息：

• 发起支付的 APPID
• 商户号，例如 mch_id
• 服务商号或子商户号
• 商户订单号，例如 out_trade_no
• 支付平台生成的交易号，例如 transaction_id
• 请求签名使用的商户证书、私钥或密钥

商户号通常决定资金和交易的归属，APPID 则标识具体的应用场景。有些平台要求两者与原交易完全一致，有些平台允许同一商户号下的多个应用共享部分查询权限。具体规则取决于产品和接口，不能一概而论。

知道某笔交易的订单号，并不代表拥有查询权限。支付平台仍会校验调用方的身份和签名。

建议的查询方式

查询支付流水时，应保存并使用原支付请求中的身份信息：

1. 创建支付订单时，记录 APPID、商户号和商户订单号。
2. 支付成功后，保存支付平台返回的交易号。
3. 查询订单时，根据本地订单找到原始 APPID 和商户身份。
4. 使用对应应用和商户的密钥或证书生成查询请求。
5. 如果平台返回“订单不存在”或“无权限”，应同时检查应用、商户号、订单号和调用环境，不要只核对订单号。

在服务商模式下，还要区分服务商应用、子商户应用、服务商号和子商户号。不要用服务商自己的 APPID 查询由子商户应用发起的订单。

代码示例

以下示例不依赖具体 SDK。字段名称仅用于说明查询逻辑，实际参数应以支付平台的接口文档为准。

async function queryPayment(localOrder) {
  const paymentIdentity = await loadPaymentIdentity(localOrder.id);

  const request = {
    appid: paymentIdentity.appid,
    merchant_id: paymentIdentity.merchantId,
    out_trade_no: localOrder.outTradeNo
  };

  const signature = signRequest(
    request,
    paymentIdentity.privateKey
  );

  return paymentClient.queryOrder({
    ...request,
    signature
  });
}

创建订单时，可以同时保存支付身份：

INSERT INTO payment_order (
    order_id,
    out_trade_no,
    app_id,
    merchant_id,
    transaction_id
) VALUES (
    :order_id,
    :out_trade_no,
    :app_id,
    :merchant_id,
    :transaction_id
);

如果系统接入了多个应用，查询时不要使用当前登录应用的 APPID，而要使用创建订单时保存的 APPID：

// 不推荐：查询身份可能与原支付身份不一致
const appid = currentApplication.appid;

// 推荐：从支付订单记录中恢复原支付身份
const appid = paymentOrder.appId;

查询失败时如何排查

可以按以下顺序检查：

1. 确认当前查询的是测试环境还是正式环境。
2. 确认商户订单号或平台交易号是否正确。
3. 核对查询请求中的 APPID 是否与原支付请求一致。
4. 核对商户号、子商户号和服务商号是否匹配。
5. 确认签名使用了该商户对应的密钥、私钥或证书。
6. 检查订单是否由其他应用、商户或服务商通道创建。
7. 查看接口返回的错误码和错误信息，判断属于“订单不存在”“参数不匹配”还是“权限不足”。

出于安全考虑，部分平台在身份不匹配时可能统一返回“订单不存在”，不会明确提示权限不足。因此，查不到订单并不一定表示交易没有产生。

注意事项

• 不要轮换不同的 APPID 探测交易。这种做法既不可靠，也可能触发风控。
• 即使多个应用属于同一公司主体，也不一定能共享支付流水。
• 使用相同的 APPID 也未必能成功查询。商户号、签名凭证和交易环境同样需要匹配。
• 服务商可以通过平台规定的服务商接口和授权关系，获得代子商户查询的能力。
• 如果业务需要跨应用统一查询，可以由后端建立统一的支付订单中心，保存每笔交易对应的应用、商户和渠道信息。
• 如果仍不清楚权限边界，应向支付平台确认查询接口按 APPID、商户号、子商户号，还是这些信息的组合进行鉴权。

备注：内容仅供参考。