PAYATHON 2026

网站二维码支付能否通过电脑程序直接调用 API 完成？

支付老李

明确结论

电脑程序可以调用支付 API，但前提是使用支付平台正式开放的接口，并具备相应的商户资质、密钥和用户授权。

如果网站只提供了一个二维码，而你只是普通付款用户，通常不能跳过扫码和确认流程，直接调用接口完成扣款。二维码一般只包含订单号、收款链接或支付页面地址，不包含直接扣款所需的凭证。即使通过抓包找到了内部接口，调用时往往还要处理签名、登录状态、设备校验、风险控制和支付确认，无法作为稳定方案。

具体来说：

  • 如果你是网站或商户系统的开发者，可以接入官方支付 API。
  • 如果你是普通付款用户，应使用支付平台提供的电脑收银台、桌面客户端或其他官方付款入口。
  • 如果想通过模拟请求、自动点击或复用二维码接口绕过确认，即使技术上能暂时实现，也会面临安全、稳定性和合规问题。

为什么不能直接把二维码变成扣款 API

二维码支付通常包含两个阶段：

  1. 商户创建支付订单并取得二维码内容。
  2. 用户通过支付账户确认付款，平台验证身份后完成扣款。

二维码解决的是定位订单的问题，并不代表用户已经授权付款。实际扣款通常还需要：

  • 商户身份和 API 密钥；
  • 请求签名、时间戳和随机数；
  • 用户登录状态或用户标识；
  • 支付密码、生物识别或二次确认；
  • 风控、限额和设备环境检查；
  • 异步支付结果通知。

因此，解析二维码后最多只能得到一个 URL 或订单标识，不能依靠这些信息合法、安全地从任意账户扣款。

可行的实现方案

方案一：接入官方网页支付或电脑收银台

如果支付平台提供 Web、PC 或 H5 收银台，商户服务端可以先创建订单，再让电脑浏览器跳转到官方付款页面。用户在官方页面登录并确认支付，你的程序不需要接触支付密码。

基本流程如下：

电脑程序 -> 商户服务端 -> 支付平台创建订单
                           |
                           v
电脑浏览器 <- 官方收银台地址
                           |
                           v
用户确认付款 -> 支付平台异步通知商户服务端

这是电脑端支付中较为常见且风险较低的方案。

方案二：商户服务端调用支付 API

如果你拥有商户账号，可以从服务端调用支付平台的统一下单接口。下面是一个抽象示例，其中的字段名称并不对应任何一家支付平台。实际开发必须以接入平台的官方文档为准。

import crypto from "node:crypto";

function signPayload(payload, secret) {
  const content = Object.keys(payload)
    .sort()
    .map((key) => `${key}=${payload[key]}`)
    .join("&");

  return crypto
    .createHmac("sha256", secret)
    .update(content, "utf8")
    .digest("hex");
}

async function createPayment() {
  const payload = {
    merchant_id: process.env.MERCHANT_ID,
    order_id: "ORDER_20260913_001",
    amount: "99.00",
    currency: "CNY",
    notify_url: "https://merchant.example.com/payment/notify",
    timestamp: Math.floor(Date.now() / 1000)
  };

  const signature = signPayload(payload, process.env.API_SECRET);

  const response = await fetch("https://payment-provider.example/api/payments", {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      "Authorization": `Bearer ${process.env.API_TOKEN}`
    },
    body: JSON.stringify({
      ...payload,
      signature
    })
  });

  if (!response.ok) {
    throw new Error(`Create payment failed: ${response.status}`);
  }

  return response.json();
}

示例中的域名、接口路径、签名算法和参数都是占位内容，不能直接用于真实支付。正式接入时，需要使用支付平台提供的 SDK、证书和签名规范，并将密钥保存在服务端。

方案三：使用已签约的代扣或自动扣款能力

如果业务需要定期续费、会员订阅或无人值守付款，可以申请支付平台提供的代扣、协议支付或订阅支付能力。一般流程如下：

  1. 用户首次主动签约并明确授权；
  2. 平台返回协议编号或授权令牌；
  3. 商户按照约定条件发起后续扣款；
  4. 用户可以查询或解除授权。

这种方式可以实现程序化扣款，但通常需要单独签约、接受业务审核并取得用户授权，不能用普通二维码支付接口代替。

方案四：解析二维码后打开官方支付页面

如果二维码内容是 HTTPS 地址，可以在电脑端解析后交给浏览器打开：

import webbrowser

payment_url = "https://payment.example.com/cashier/ORDER_ID"
webbrowser.open(payment_url)

最终能否付款，取决于平台是否支持电脑浏览器。有些链接只能通过指定的手机 App 打开。这种情况下，即使电脑端解析出了地址，也无法完成账户授权。

推荐的实施步骤

  1. 先确认自己的角色，是商户开发者还是普通付款用户。
  2. 查询支付服务商是否提供 PC 网站支付、网页收银台、协议支付或代扣产品。
  3. 通过商户后台申请接口权限并配置回调地址。
  4. 在服务端创建订单和生成签名，不要把商户密钥保存在网页或桌面客户端中。
  5. 将用户引导到官方收银台完成身份验证。
  6. 根据异步通知确认支付结果，同时主动调用订单查询接口进行校验。
  7. 先在支付平台提供的沙箱或测试环境中完成联调，再正式上线。

不建议采用的方式

不建议通过抓包、模拟手机 App、复制登录 Cookie、自动输入支付密码或调用未公开接口来完成付款。这些方案通常有以下问题：

  • 内部接口可能随时变化；
  • 登录状态、签名和设备指纹很难稳定模拟；
  • 可能触发交易风控或导致账户被冻结；
  • 支付凭证容易泄露；
  • 可能违反网站服务条款或支付平台规则；
  • 无法可靠处理退款、重复扣款和交易争议。

浏览器自动化工具可以测试自有系统的页面流程，但不应被用来绕过第三方支付确认。

注意事项

判断支付结果时，不能只看浏览器跳转后的页面。用户关闭页面、网络中断或前端参数被伪造，都可能造成状态误判。服务端应验证异步通知中的签名、商户号、订单号、金额和币种，并保证订单处理具有幂等性。

API 密钥、私钥和证书必须保存在服务端或专用密钥管理系统中。对于任何可以直接发起扣款的接口，都应设置权限控制、金额限制、审计日志和异常告警。

如果只是想避免用手机扫码，优先使用官方 PC 收银台。如果需要系统自动付款，则要申请协议支付、代扣或其他正式开放的支付能力。仅凭网站上的普通支付二维码，通常无法直接改造成由电脑程序自动扣款的接口。

备注：内容仅供参考。