微信支付的支付通知 notify_url 不支持 https 吗？难以置信

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 2342 天前的主题，其中的信息可能已经有所发展或是发生改变。

支付成功，但服务端一直收不到支付通知。
在 CSDN 论坛上看到有人说改成 http 就好，没想到真的成功了。
难道都 2018 年了这个关键通知竟然不支持 https ？
还是说不支持使用 Let's Encrypt 的 https ？

第 1 条附言 · 2018-07-01 22:28:28 +08:00

在经过 #30 和 #32 楼的点拨之后，确定是了 SNI 配置的关系。
希望所有遇到同样问题，搜到本帖的朋友，检查一下 SNI 配置，微信内部的库估计是很老的，嗯。

第 2 条附言 · 2018-07-01 22:35:24 +08:00

再追加一下：

因为我使用的是 Windows Server 2012 R2 + IIS 8.5 的环境，而且是中文版，所以关于 SNI 的配置，我说不清到底是关闭还是打开，我的做法是在绑定 https 域名的面板把 “需要服务器名称指示” 的勾去掉，应该是关闭了 SNI 的意思。

第 3 条附言 · 2018-07-01 22:49:59 +08:00

最后再追加一条解决方案：
刚刚又把 “需要服务器名称指示” 这个勾打上了，然后给 IIS 的默认站点（没有配置域名的站点）添加了 https 的默认响应，同样是没域名，证书随便选一张。
这样虽然直接访问 https://ipaddres 会出错，但对于不支持 SNI 的请求（比如微信）也能正确响应了。

支付

通知

csdn

encrypt

38 条回复 • 2018-12-19 19:11:30 +08:00

uqf0663

2018-07-01 01:38:36 +08:00

可以的，微信支付后台产品设置那里你得选 https

34C

2018-07-01 01:43:02 +08:00

@uqf0663

产品中心 - 开发配置 - 支付配置 - 公众号支付 - 支付授权目录

你说的是这个配置嘛？这里有配置 https 的，没用；
而这里保留只 https 而 notify_url 改成 http 一样可以通知成功，不知道啥情况

airyland

2018-07-01 07:22:27 +08:00 via iPhone

用 lets encrypt 证书的地址做为回调很久了，并没有遇到问题。

phpcxy

2018-07-01 07:23:51 +08:00 via Android

我也是用 Let ' s Encrypt，也是改为 http 才能收到通知。我怀疑是自己 nginx 配置问题，不过那个项目已经凉了，最后也没搞啦。

vacker

2018-07-01 08:34:58 +08:00 via Android

我也是用的 HTTPS 啊，证书也是 let ’ s encrypt 一年多了现在正常使用，稳如狗。肯定是你什么地方配置没对。

34C

2018-07-01 09:31:49 +08:00 via iPhone

@airyland @vacker 能不能分享一下 SSL 配置？

vacker

2018-07-01 10:37:50 +08:00

@34C

server
{
listen 80;
listen 443 ssl http2;
server_name www.xxx.com;
index index.php index.html index.htm default.php default.htm default.html;
root /www/wwwroot/www.xxx.com;

#SSL-START SSL 相关配置，请勿删除或修改下一行带注释的 404 规则
#error_page 404/404.html;
#HTTP_TO_HTTPS_START
if ($server_port !~ 443){
rewrite ^(/.*)$ https://$host$1 permanent;
}
#HTTP_TO_HTTPS_END
ssl_certificate /etc/letsencrypt/live/www.xxx.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/www.xxx.com/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
error_page 497 https://$host$request_uri;

#SSL-END

#ERROR-PAGE-START 错误页配置，可以注释、删除或修改
error_page 404 /404.html;
error_page 502 /502.html;
#ERROR-PAGE-END

#PHP-INFO-START PHP 引用配置，可以注释或修改

include enable-php-71.conf;
#PHP-INFO-END

#REWRITE-START URL 重写规则引用,修改后将导致面板设置的伪静态规则失效
include /www/server/panel/vhost/rewrite/www.xxx.com.conf;
#REWRITE-END

#禁止访问的文件或目录
location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn|\.project|LICENSE|README.md)
{
return 404;
}

location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
{
expires 30d;
access_log off;
}
location ~ .*\.(js|css)?$
{
expires 12h;
access_log off;
}
access_log /www/wwwlogs/www.xxx.com.log;
}

ss098

2018-07-01 10:40:22 +08:00

之前似乎看过一篇帖子，微信好像把 TLS 版本限制为比较新的版本（ TLS 1.2 / TLS 1.3 ），不支持较旧的版本，但找了一下找不到了。

ss098

2018-07-01 10:42:36 +08:00

搞错了，和这个案例的场景不太一样。

/t/458701

mydns

2018-07-01 11:02:24 +08:00

支持

扫码回调链接
操作
https://www.

34C

2018-07-01 14:22:36 +08:00

@vacker 在 myssl 检测了一下，评级为 B，把 RC4 和 DH 都禁用了，评级升到 A 了，仍然收不到微信的通知…

34C

2018-07-01 14:22:42 +08:00

@mydns 不是这个设置，页面的支付什么的都正常，就是收不到 JSAPI 支付通知…

34C

2018-07-01 14:25:10 +08:00

@ss098 我现在是 TLS 1.0 / 1.1 / 1.2 都支持，SSL 2 / 3 都关闭了，还是不行，楼上那位可以的也有开 TLS 1.0 唉

ysc3839

2018-07-01 15:32:35 +08:00 via Android

跳转 https 那里不应该用 rewrite 吧？
应该用 return 301

return 301 https://$host$request_uri;

hlwjia

2018-07-01 15:34:39 +08:00 via iPhone

把你的配置贴出来呀

那么多人用了那么久的都没问题

34C

2018-07-01 15:47:57 +08:00

@hlwjia

我的服务器是 Windows + IIS 所以只能说配置结果等于楼上 nginx 的，但要我怎么贴配置呢…

而且还真不是只有我一个人有问题，可以看看：
https://developers.weixin.qq.com/blogdetail?action=get_post_info&docid=dce861f3379989aac1e017e655c42d24
https://developers.weixin.qq.com/blogdetail?action=get_post_info&docid=00006ef3398a1009d416cac3f5b000
https://developers.weixin.qq.com/blogdetail?action=get_post_info&docid=000a46f7a305c895bfa6c44c457000
https://developers.weixin.qq.com/blogdetail?action=get_post_info&docid=000ce62024ced866b1a65f8ee5a400

hlwjia

2018-07-01 15:49:13 +08:00

@34C 有一个可能，是不是小程序，是不是虚拟支付？

34C

2018-07-01 15:54:49 +08:00

@hlwjia

不是，我没做小程序支付，做的是公众号内 JSAPI 的支付，整个支付流程都走通了，就是支付通知收不到，
什么都不动，把 notify url 改成 http 的就能收到，改回 https 又不行，
换个别的 url 只要是 https 也不行，
服务器日志压根没收到任何请求，
而且同个域名的 https 有别的接口给公众号做自动回复，每天几千次请求都正常，唯独收不到支付通知，
蛋疼得要命

xi_lin

2018-07-01 17:03:06 +08:00

https 肯定支持
https://www.geocerts.com/ssl_checker
看看是不是证书链的问题

vacker

2018-07-01 17:20:44 +08:00

@34C 我的站检测结果是 A，我是 Linux，试试是否和你 window 环境有关

hlwjia

2018-07-01 17:23:14 +08:00

这个地址自己能访问吗？

34C

2018-07-01 19:13:55 +08:00 via iPhone

@hlwjia 可以的，包括用 postman 测试 post 一大段 xml 数据也没问题

34C

2018-07-01 19:15:15 +08:00 via iPhone

@xi_lin 测了一下全部 OK，其实我还试过换 ssl 证书但也都不行…

34C

2018-07-01 19:16:47 +08:00 via iPhone

@vacker 这就很蛋疼了，浏览器访问正常、其它给微信访问的接口也正常、证书检测也正常了，就是通知收不到…

Vhc001

2018-07-01 19:24:21 +08:00

@vacker #7 我能艾特站长举报你传播色情网站吗？

1iuh

2018-07-01 19:40:50 +08:00

服务器在哪？不在国内的话，可能会有问题，但是不是微信的问题。

w0nglend

2018-07-01 19:45:28 +08:00 via Android

@ss098 小程序好像是必须 1.2。1.3 还是草案

34C

2018-07-01 19:47:23 +08:00 via iPhone

@1iuh 在国内，阿里云

vacker

2018-07-01 19:55:48 +08:00

@Vhc001 我反正是打不开😂

cameo

2018-07-01 20:54:11 +08:00

看一下你的服务器是不是启用了 SNI，并且没有 fallback 策略。你会看到支付成功后，立刻有一个握手失败的请求进来，那就是微信的通知请求。猜测原因是微信使用的网络库太老，没有做 SNI 的支持。强烈建议遇到这个问题的同学都提下工单，请求微信修复这一问题。

Infernalzero

2018-07-01 21:02:33 +08:00

微信是这样的，只能给它的请求特殊处理，不重定向
支付宝就没这等破事

3dwelcome

2018-07-01 21:53:10 +08:00 via Android

微信对 https 加密算法有严格要求，我把加密算法退化到最基本的 rsa cbc 就可以，上 dh 有时都会挂。特烦，别的站就没这个破问题，为此真是独此一家，特殊对待。

pubby

2018-07-01 22:18:18 +08:00 via Android

15 年开始接入微信支付，一直使用 https 回调，从没遇到这种情况

34C

2018-07-01 22:25:01 +08:00

@cameo
@3dwelcome

给你们俩 100 个赞！果然是 SNI 的原因！！

34C

2018-07-01 22:30:35 +08:00

@pubby 问题解决了，因为 SNI 配置的缘故

raptor

2018-07-01 23:40:36 +08:00

我只想说一句：Windows 就是善于制造其它平台不存在的问题……

34C

2018-07-01 23:49:06 +08:00 via iPhone

@raptor 别的平台也会有 SNI 的问题，只是 Windows 的配置各种神翻译神描述…

yimo666

2018-12-19 19:11:30 +08:00

windows server 2012 R2 上，同 SNI 问题，建立一个默认的 SSL 站点即可(新建站点，协议 https 端口 443，选一张证书)