上线检查清单

安全

• API 密钥的 secret 只保存在服务器上（密钥管理服务或环境变量），不在 git、App 或浏览器中。
• 为生产环境签发了单独的密钥；生产环境不使用沙盒密钥。
• Webhook：https://、公网地址、443 端口；基于原始请求体验证签名；时间窗口为 5 分钟。
• 仅当 GET /v1/invoices/{id} 返回 paid 或 overpaid 状态时才交付订单，而不是依据 Webhook 或 return_url。
• 交付具备幂等性：重复的 Webhook 不会导致订单被交付两次。
• 拒绝 livemode: false 的账单和事件。
• 服务器时钟已同步（NTP）。

可靠性

• 每个 POST /v1/invoices 都带有基于订单号的 Idempotency-Key；网络错误后使用同一个键重试。
• Webhook 处理程序在 10 秒内响应，耗时任务放入队列处理。
• 设有兜底对账：等待超过 N 分钟的订单会通过 GET /v1/invoices/{id} 复核。
• 已处理 underpaid、expired、late_payment、manual_review 和 invoice.reorged。

顾客体验

• 订单页面清楚显示：等待付款、已支付、少付、已过期。
• 账单有效期内提供指向 checkout_url 的「前往支付」链接。
• 移动 App 在系统浏览器中打开支付页面，return_url 为通用链接。
• 已考虑 App Store 和 Google Play 关于数字商品的规定。

已在沙盒中验证

• 精确支付、少付后补付、多付、分两次各付一半。
• 账单过期：为同一订单创建新账单。
• 伪造和过期的 Webhook 会被拒绝；重复投递不会导致重复交付。
• 在不停机的情况下轮换 Webhook 签名密钥并更换 API 密钥。