上云选品云仓商城（简称"上品云仓"，平台方）与上云付款联合打造的"商城 + 聚合支付"一体化方案。本页将项目背景、核心功能、总体架构、业务流程、安全合规与交付验收统一收纳，便于商务与技术团队随时查阅、对齐口径。
本方案打通"商城交易"与"聚合收款"两端：商城负责商品、库存与履约，上云付款负责资金收单与商户资质进件，双方通过开放接口与签名回传完成可信协作。
打通交易闭环：商品成交后可在商城内一键发起微信 / 支付宝收款，资金按商户维度清分、回款可查。
商户自助进件：商城侧商户（团长 / 门店）通过商城入口完成资质进件，无需人工线下递交。
资料自动回传：进件后的商家码、API 密钥、收款链接、子商户号等凭证自动回传并落库。
支付驱动履约：支付成功作为订单放行 / 库存扣减 / 发货的唯一可信信号，杜绝"假支付"资损。
可监控可对账：支付与回传动作均有日志、可重试、可对账，异常可定位。
安全合规：接口鉴权、密钥隔离、敏感信息加密、回调验签全部到位，资料不外泄。
上云付款只负责"钱"和"商户资质"，不碰商品、库存、物流；商城只负责"货"和"履约"，通过支付结果信号驱动，不介入通道申请细节。
| 能力 | 上云选品云仓商城（平台方） | 上云付款（商户侧服务） |
|---|---|---|
| 商品 / 库存 / 物流 | ✓ 自建、主导 | — |
| 订单创建与状态机 | ✓ 主导 | 提供支付单与状态（已支付 / 已退款等） |
| 支付收单 | 调用方 | ✓ 聚合微信 / 支付宝，通道申请 / 路由 / 清分 |
| 商户进件（资质报备） | 采集资料、发起进件 | ✓ 向官方报备、轮询状态、回传结果 |
| 凭证生成与下发 | 接收并落地配置 | ✓ 生成、下发、支持重置 |
| 支付结果回调 / 资料回传 | ✓ 提供地址并验签 | ✓ 主动推送、含签名 |
| 对账 / 清分 / 提现 | 平台自定义 | 提供交易明细查询能力 |
围绕"收款—进件—回传—履约"构建端到端能力，既服务终端商户，也服务平台型接入方与 SaaS。
同时支持微信、支付宝扫码（Native）与公众号 / 小程序 JSAPI 收银台，一个二维码搞定多通道收款；开放 API 灵活嵌入商城下单流程。
商城侧商户通过入口采集资质并提交，上云付款向微信 / 支付宝报备、轮询状态，免去人工逐一录入，状态实时可查。
进件完成后，商家码、API 密钥、收款链接、子商户号等凭证自动回传至商城接收端，按渠道码（source）落库配置。
仅当收到验签通过的支付成功回调，才生成发货单、扣减库存、推送物流——从机制上杜绝"已下单未支付却发货"的资损。
按商家码 / 子商户号与交易明细逐笔勾兑，资金归属清晰可辨，差异自动告警，T+1 结算可查。
回调验签、密钥隔离、敏感信息加密、防重放与时间窗校验，全链路保障资金与数据安全。
两条主干：① 顾客支付 → 回调 → 商城履约；② 商户进件 → 官方报备 → 资料回传 → 商城配置。
商城仅当收到验签通过的支付成功回调才履约；回调丢失 / 延迟时以主动查单（query）结果兜底确认，冲突以查单为准。
接口采用 HMAC 签名鉴权，接入方使用"商家码 + API 密钥"成对凭证调用；上云付款回传资料采用渠道密钥（source secret）验签。
| 场景 | 接口 | 方法 | 说明 |
|---|---|---|---|
| 开放下单 | /api/open/order/create | POST | 按商家码 + 密钥下单，返回微信 / 支付宝支付参数 |
| 订单查询 | /api/open/order/query | GET | 按商户订单号查支付状态 |
| 关单 | /api/open/order/close | POST | 超时 / 取消时关闭支付单 |
| 收款码（门店） | /api/pay/native | POST | 返回 code_url（顾客扫码） |
| 小程序支付 | /api/pay/jsapi | POST | 返回 JSAPI 调起参数 |
| 支付结果回调 | 商城侧 notify_url | POST | 异步通知，签名验签 |
| 场景 | 接口 | 方法 | 说明 |
|---|---|---|---|
| 自助进件页 | /onboard | GET | 商户 / 团长填写资质、拍照上传 |
| 自助进件提交 | /api/v1/onboard | POST | 入库、触发进件与回传 |
| 开放进件（代商户） | /api/open/merchant/onboard | POST | 由商城代商户提交，source 决定回传渠道 |
| 进件单查询 | /api/v1/merchants/{id}/applyments | GET | 查微信 / 支付宝进件进度 |
| 开户证实 | /api/v1/merchants/{id}/verify | GET | 通道开户确认 |
amount_fen），范围约 0.01–5000 元，切勿按"元"传参。out_biz_no，约束 ^[A-Za-z0-9_-]{6,64}$。SUCCESS 即视为接收成功、停止重试；否则上云付款约重试 2 小时。https://{source}.zhihuiyunmall.cloud/api/pay/msf-notify，source 须小写且与上云付款"渠道回传配置"一致。全链路 HTTPS、密钥隔离、回调验签、敏感信息加密、权限最小化，满足平台对接的安全基线。
支付回调与资料回传均强制验签（HMAC-SHA256，密钥为渠道 secret），非验签请求一律拒绝。
每个接入方（source）独立 secret，禁止多接入方共用同一把密钥，降低单点泄露的横向影响。
时间戳 ±5 分钟窗口 + nonce 去重，重复通知直接忽略，订单状态幂等处理。
身份证、银行卡、营业执照等敏感字段传输与落库加密，密钥 / 证书不出域。
回传数据按 source / 租户隔离，服务端不做跨 source 数据混用。
回传 / 支付日志仅留必要字段，不落明文密钥，全程可追溯。
覆盖下单、回调、回传、退款、网络等异常场景，关键链路可重试、可定位。
| 异常场景 | 处理机制 |
|---|---|
| 下单失败（如 NO_AUTH 未签约） | 失败即失败，明确提示"未签约授权，无法收款"，绝不以兜底收进平台主号 |
| 支付成功但回调丢失 / 延迟 | 商城主动查单（query）兜底确认，冲突以查单为准 |
| 回调验签失败 | 直接拒绝、记录告警，不更新订单 |
| 回调重复通知 | 订单状态幂等处理，已支付不再重复履约 |
| 进件失败 / 被驳回 | 返回原因，引导商户补正后重新进件 |
| 资料回传失败 | 记录失败日志，后台"补推"重试；接收端须先配好对应 secret |
| 退款异常 | 查退款状态，失败重试或人工介入；退款成功才回补库存 |
任何"失败转其他主体收款 / 静默降级"的兜底一律禁止；对账必须以"资金实际归属主体"清晰可辨为前提。
由接入方（马商户）承接的定向开发范围与验收标准，作为交付 / 验收依据。
接入下单 / 查单 / 关单；实现微信、支付宝双通道；门店收款码场景适配。
提供 notify_url 并验签；实现幂等、防重放、状态机联动履约。
商城侧进件入口，含资料采集、进度查询。
提供 msf-notify 接收端，按 source + secret 验签并落库。
读取 / 托管商家码与 API 密钥，支持密钥重置后平滑切换。
支付成功驱动库存释放、发货单生成、物流推送；退款联动库存回补。
按商家码 / 子商户号逐笔勾兑，差异告警。
覆盖全部异常场景，关键链路日志、重试、告警。
全链路 HTTPS、密钥隔离、回调验签、敏感信息加密、权限最小化。
微信、支付宝均可完成"下单→支付→回调→已支付"且资金归属一致（无错账）；回调与回传均通过验签才生效；T+1 对账差异率为 0 或可解释；模拟"回调丢失 / 下单拒付 / 回传失败"均能正确处置。
我们的商务与技术团队可协助您完成配置、联调与上线，最快当天即可收款。