手机没网了,却还能支付,这是什么原理?

码农印象 等级 1766 2 0

手机没网了,却还能支付,这是什么原理?

来自公众号:程序通事

现在生活已经离不开微信/支付宝电子支付,平常出去吃饭、购物只要带个手机,就可以解决一切,以致于现在已经好久没摸过真💰了。

有一次出去吃饭,排着队付钱,等着过程非常无聊,准备拔出手机来把荒野乱斗,却发现这个地方竟然连不上网 。

手机没网了,却还能支付,这是什么原理?看着手机明明信号满格,但是就是显示网络无连接,苹果手机用户痛,谁用谁知道。

画外音:真的要 Diss 一下使用英特尔基带的 Iphone,📶 好差,没事网络就会闪断~

说回正题,由于没有网络,而我又没带钱,所以就怕付钱的时候因为手机没网,没办法使用支付宝扣款。正想着时,已经排到了我,不管三七二十一,先用下支付宝试试,实在不行就不吃了。

不过没想到,当商家用扫码抢扫描支付宝上付款码支付以后,虽然我的手机最终没有弹出支付成功的页面,但是商家端显示支付成功,并成功打印出了小票,过了一会,我的手机收到支付宝扣款短信。

因为我最近的工作对都是与微信/支付宝有关,整体支付流程还是比较清楚,但是付款码为什么能离线支付确实不是很清楚,所以研究了一番,于是有了今天的文章。 手机没网了,却还能支付,这是什么原理?

科普支付方式

在聊付款码离线原理之前,我们先给不熟悉支付宝/微信支付方式同学先科普一下常见的两种支付方式。

微信、支付宝线下支付常用支付方式有两种,一种是我们打开手机,主动扫描商家提供码牌,这种支付方式一般称为主扫支付(用户主动扫码)。

支付宝为例,付款流程如图所示:

手机没网了,却还能支付,这是什么原理?

第二种则是我们打开手机,展示我们的付款码,然后商家使用扫码枪等工具获取付款码完成支付,这种支付方式一般称为被扫支付(用户被扫码)。

以支付宝为例,付款流程如图所示:

手机没网了,却还能支付,这是什么原理?

对于第一种方式,需要手机端 APP 扫码,然后弹窗确认付款,这种方式是没有办法在手机没有网络的情况完成支付,所以我们上文说的没有网络的情况特指付款码支付的场景。

付款码付款流程

在聊付款码离线支付的前提前,我们先来来看下付款码的整体流程,以超市购物为例,一次付款码的支付信息流如图所示:

手机没网了,却还能支付,这是什么原理?

这个过程商家后台系统是需要调用的支付宝条码支付的接口,完成支付。

「由于商家后台需要在线联网与支付宝后台通讯,所以说付款码的离线支付,指的是客户端没有的网络的情况,商家端其实必须实时联网在线。」

一次付款码接口调用流程如图所示:

手机没网了,却还能支付,这是什么原理?

通过上面两张图,我们整体了解付款码交互流程。

付款码的技术方案其实可以分为客户端在线与离线的两种情况,下面我们来看下两种方案具体实现方式。

在线码方案

客户端在线码的方案,这个应该比较容易想到,只要支付宝/微信在登录的情况下,点击付款按钮,客户端调用后台系统的申请付款码接口。

后台系统受到请求之后,生成一个付款码,然后在数据库保存付款码与用户的关系,并且返回给客户端。

只要客户端在有效期内展示该付款码,就可以完成支付,否则该二维码就将会过期。

使用这种方案,相对来说比较安全,因为每次都是服务端生成码,服务端可以控制幂等,没有客户端伪造的风险的。

另外即使需要对付款码规则调整,比如付款码位数增加一位,我们只要调整服务端代码即可,客户端都无需升级。

「不过这种方案缺点也比较明显,客户端必须实时在线联网,没有网络则无法获取付款码。」

另外,现在有一些智能设备也开始支持支付宝支付,这些设备中很大一部分是没有联网的功能(比如小米手环四),那这种情况是没办法使用在线码方案。

手机没网了,却还能支付,这是什么原理?

基于这种情况,所以开始有了离线码方案。

离线码方案

说起离线码大家可能比较陌生,但是实际上你如果仔细观察,其实很多场景都用到了离线码。

比如说以前去黑网吧玩梦幻西游的时候,账号总是被盗。

没办法,花了一笔重资买了一个网易将军令,每次登录的时候,除了输入用户名与密码以外,还需要输入动态口令。从此账号就很少被盗了。

手机没网了,却还能支付,这是什么原理?

又比如说每次网易支付的时候,我们除了输入银行卡密码以外,还需要输入网银盾上动态码,这样才能完成支付。

手机没网了,却还能支付,这是什么原理?

画外音: 图片这里又要吐槽一下,网银盾以前真的超难用,动不动就驱动不兼容。还记得当初用网银充值黄钻,搞了一下午都没有成功--!

当然上面这些可能已经是老古董了,很多人都可能没用过,现在比较流行是「手机验证器APP」,比如 「Google Authenticator」 等。

手机没网了,却还能支付,这是什么原理?

这种令牌器,动态产生一次性口令(「OTP, One-time Password」),可以防止密码被盗用引发的安全风险。

其实付款码离线方案技术原型就是基于这种方案,所以下面我们就基于 Google Authenticator,来了解一下这其中的原理。

动态口令技术原理

首先如果我们需要使用 「Google Authenticator」,我们需要在网站上开启二次验证功能,以 Google 账号为例,在设置两步验证的地方可以找到如下设置:

手机没网了,却还能支付,这是什么原理?

当我们点击设置,将会弹出一个二维码,然后使用 「Google Authenticator」 APP 扫码绑定。

手机没网了,却还能支付,这是什么原理?

当我们绑定之后, 「Google Authenticator」 APP 将会展示动态码。

我们来解析一下这个二维码,对应下面这个字符串:

手机没网了,却还能支付,这是什么原理?

上面的字符串中,最重要就是这一串密钥 secret,这个是一个经过 「BASE32」 编码之后的字符串,真正使用时需要将其使用「BASE32」 解码,处理伪码如下:

手机没网了,却还能支付,这是什么原理?

「这个密钥客户端与服务端将会同时保存一份,两端将会同样的算法计算,以此用来比较动态码的正确性。」

我们以客户端为例,生成一个动态码,首先我们需要经过一个签名函数,这里 *Google Authenticator *采用的 「HMAC-SHA1」,这是一种基于哈希的消息验证码,可以用比较安全的单向哈希函数(如 SHA1)来产生签名。

签名函数伪码如下:

手机没网了,却还能支付,这是什么原理?

上面函数中的,input 使用当前时间整除 30 的值。

手机没网了,却还能支付,这是什么原理?

这里时间就充当一个动态变参,这样可以源源不断产生动态码。

「另外这里整除 30,是为了赋予验证码一个 30 秒的有效期。」

这样对于用户输入来讲,可以有充足时间准备输入这个动态码,另外一点客户端与服务端可能存在时间偏差,30 秒的间隔可以很大概率的屏蔽这种差异。

经过 「HMAC-SHA1」 签名函数以后,我们得到一个长度为 40 的字符串,我们还需要将其转化为 6 位数字,方便用户输入。处理的伪码如下:

手机没网了,却还能支付,这是什么原理?

完整的算法伪码如下:

手机没网了,却还能支付,这是什么原理?

当客户端将动态码上传给服务端,服务端查询数据库获取到用户对应的密钥,然后使用同样的算法进行处理生成一个动态码,最后比较客户端上传动态码与服务端生成是否一致。

付款码离线方案

上面我们了解了动态口令的实现方案,付款码生成原理其实也大致如此。

不过付款码离线方案采用动态密钥的方式(「全局唯一」),定时请求服务端更换密钥,以此保证更高的安全性。

另外在一次性动态口令方案,需要双方基于同样的秘钥,所以服务端需要明确知道这「背后正确用户」。以上面的登录场景为例,登录过程输入用户名,服务端就可以根据这个在数据库中查询相应的密钥。

但是在付款码的支付场景中,支付过程仅仅传递一个付款码,就可以向相应的用户扣款。不用想,这个付款码这串数字一定包含相应的用户信息。

所以付款码的相应的算法相比动态码会更加复杂,这样才可以有效保证安全性。

看到这里,不知道你们是否急切想了解这套算法那?

手机没网了,却还能支付,这是什么原理?

哈哈,开个玩笑,这种算法岂能是我们能掌握的。

支付宝核心算法咱不知道,但是我们可以从其他人公开设计方案了解一个皮毛。

这里小黑哥给你一个知乎网友@反方向的钟回答的离线二维码实现方式,给你 look look。

手机没网了,却还能支付,这是什么原理?

付款码离线码的劣势

最后我们来看下付款码离线方案的劣势:

第一,算法调整不灵活,如果相关算法较大的调整,可能需要升级客户端,并且这个期间服务端还需要兼容新老算法产生的付款码。

第二,安全性问题,正常的情况相关密钥无法被普通用户获取,但是架不住有有心之人。他们可能通过获取手机用户 Root 权限或者越狱手机,利用恶意程序获取密钥,然后随意生成付款码。

看到这一点,大家可能会担心自己的钱包安全了。不过这一点,我觉得不过过分担心,蚂蚁集团这么多大神,不是吃干饭的,他们肯定有很多措施保证支付安全。

第三,数据碰撞问题,A 用户生成付款码算出来与 B 用户一致,这就 Hash 算法一样,再怎么优秀的算法,也有概率才生一样的额 Hash 值。

这就导致原本是扣用户 A 的钱,最后却扣了 B 用户。这样一来,确实很乌龙,对于 B 用户来讲,莫名其妙被扣钱了。

手机没网了,却还能支付,这是什么原理?

不过放心,这种事放到放到现在,我觉得还是比买彩票中奖低,所以这种事还是不用过分担心了。

即使真被误扣了,放心,支付宝这么大体量肯定会跟客户赔钱的。

最后

最后总结一下,我们平常使用付款码支付,其实原理就是商家端获取我们手机 APP 付款码(「其实就是一串数字」),然后后台调用支付宝支付接口完成扣款。

这个流程商家端后台程序必须联网在线,但是对于我们客户端来讲可以在线,也可以离线。

如果我们客户端在线,那就可以通过服务端向客户端发送付款码,这种方式更加安全,灵活,但是对于弱网环境下,体验就很差。

如果我们客户端没网,那就通过客户端通过一定算法生成付款码,服务端收到经过相关校验,确认是哪个用户,确认码有效性,并且完成扣款。这种方式,适合客户端没有网络的情况,不过相对不灵活,且安全性稍差。

嘿嘿,了解原理,有没有觉得还是挺有意思的~

下次排队付款钱,如果手机没网,不要担心尴尬,放心拿出手机付钱~

参考 https://www.zhihu.com/question/49811134/answer/135886638 https://garbagecollected.org/2014/09/14/how-google-authenticator-works/

手机没网了,却还能支付,这是什么原理?

收藏
评论区

相关推荐

关于Golang的那些事(一) -- Node.js和Golang对比
之前一直用Node.js作为开发语言,用了差不多4年的Node.js,涉及前端和后端,最近看到Golang这个新兴之秀挺火的,于是想探究探究一下这门语言,对比了一下他们的Github repo,截止现在Node.js的repo有72.5K星, issue数量是859个,Golang的repo有75.7K星,issue数量是5K个。从趋势来看,Golang来势
golang 中神奇的 slice
声明:本文仅限于简书发布,其他第三方网站均为盗版,原文地址: golang 中神奇的 slice(https://links.jianshu.com/go?tohttps%3A%2F%2Fliqiang.io%2Fpost%2Fimagesliceingolang) 在 golang 中,似乎人们都不太喜欢使用 Linked List,甚至于原
godoc 命令和 golang 代码文档管理
介绍 godoc 是 golang 自带的文档查看器,更多的提供部署服务 go doc 和 godoc 在 golang 1.13 被移除了,可以自行安装 golang.org go1.13 godoc(https://links.jianshu.com/go?tohttps%3A%2F%2Fgolang.org%2Fdoc%2Fg
Mac安装Golang和vscode
Mac第一次安装golang和vscode一起使用,遇到了不少的坑,下面介绍一下正确的安装方式。 1、使用brew安装Golang 如果不知道brew是什么,或怎么安装请看这里 brew官网(https://brew.sh/index_zhcn) brew install golang 安装完成后可以使用
手机没网了,却还能支付,这是什么原理?
来自公众号:程序通事 现在生活已经离不开微信/支付宝电子支付,平常出去吃饭、购物只要带个手机,就可以解决一切,以致于现在已经好久没摸过真💰了。
redhat linux 中用锐捷客服端实现上网
开学了我们学校用的是锐捷的客服端连接外网,window下安装锐捷客服端实现上网很随意,但linux下却不是那么如鱼得水。我们校的很多同学都想用linux系统,但都因为安装锐捷客服端问题,不能上网,望而却步。       如今linux系统越来越火,为了攻破以上问题,结合网络上和自身的知识,总结出下方法: 1.刚开始一直用xrgsu1.1.1.i386.
golang 实现配置中心 (一)
项目背景,之前在上家东家接触到golang,自学到项目上线,也是摸着石头过河,中间也遇到了一些小bug(生产环境出现内存泄露问题,导致业务占用内存,居高不下,实际是因为项目的service层部分应用没有应用到redis或数据库,但是也进行了实例化,最后没有释放资源导致,排查方法也是比较笨,就是一些流程在本地跑,看哪些环节导致内存居高不下,最后追查到的结果),
golang 分析调试高阶技巧
layout: post title: “golang 调试高阶技巧” date: 2020603 1:44:09 0800 categories: golang GC 垃圾回收 golang 高阶调试 Golang tools nm compile
快速了解 React Hooks 原理
为了保证的可读性,本文采用意译而非直译。 我们大部分 React 类组件可以保存状态,而函数组件不能? 并且类组件具有生命周期,而函数组件却不能? React 早期版本,类组件可以通过继承PureComponent来优化一些不必要的渲染,相对于函数组件,React 官网没有提供对应的方法来缓存函数组件以减少一些不必要的渲染,直接 16.6 出来的 Rea
解除网页禁止复制,复制粘贴没烦恼
平时在网上浏览器内容的时候,看到一些精彩的内容想复制保存下来,但有时会遇到「禁止复制」的提示,瞬间会让人觉得「食之无味弃之可惜」,体验非常糟糕。 (https://imghelloworld.osscnbeijing.aliyuncs.com/f4da6e7f61f2e30daf66443c4eb71407.jpeg) 图片 网站或应用之
我的golang基础
库查询 https://gowalker.org/你应该$HOME/.profile文件增加下面设置。 搭建go的环境 step1:去golang的官网下载go的安装包 windows:go1.9.2.....msi mac:go1.9.2......pkg 双击傻瓜式安装 linux:go1.9.2.linuxamd64.tar.gz 默认到下
LayoutInflater.inflate()参数用法及导致适配器布局宽度高度错乱问题
这个LayoutInflater.inflate()应该用的都挺频繁的,比如你的fragment,你的适配器里面都会有用到。但它的参数的意义你都理解嘛? 有没有遇到过这样一个问题?你的适配器宽度明明设置了全部但是实际上却没有,布局错乱了,然后你苦寻无果,最后你直接在代码中动态重新设置了一次宽度,获取屏幕的宽度在代码中动态直接设置。 今天我们就来解释一
Python Networkx基础知识及使用总结
一、图的基础知识 1.复杂网络(Complex Network)定义与特性    钱学森给出了复杂网络的一个较严格的定义:具有自组织、自相似、吸引子、小世界、无标度中部分或全部性质的网络称为复杂网络。  复杂网络一般具有的特性:  (1)小世界。大多数网络尽管规模很大但是任意两个节点间却又一条相当短的路径。  (2)集群即集聚程度(Clusterin
golang - DES加密ECB(模式)
Java默认DES算法使用DES/ECB/PKCS5Padding,而golang认为这种方式是不安全的,所以故意没有提供这种加密方式,那如果我们还是要用到怎么办?下面贴上golang版的DES ECB加密解密代码(默认对密文做了base64处理)。
zip压缩包——加密破解篇
写在前面 前几天在某个 CTF 的交流群想看看大佬们都在聊什么,偶然间看到有人发了一个 pdf (就是这篇文章),一开始顺手点下载下来没怎么看,过几天打开看了一下发现写得挺好的,这篇文章应该是一个大佬的博客里的文章,但是尝试去找到大佬的博客地址却一直没有找到,很遗憾 QAQ 伪加密、爆破、明文攻击和CRC32碰撞+ zip 文件格式: zip 文件由三部分