易支付最新源码

易支付的易支源码最近又更新了，版本号停在3.2.1，付最发布时间是新源上周三凌晨两点十七分。我盯着GitHub上的易支提交记录看了很久，那个时间点还在改代码的付最开发者，大概率是新源被支付回调的bug逼得睡不着觉。

这套源码的易支核心改动其实就三处。第一处是付最支付通道的异步通知处理逻辑，以前是新源串行验证，现在改成了并行签名校验。易支什么意思呢？付最就是当支付宝或微信的服务器同时推来多条通知时，旧版系统可能因为排队处理导致超时，新源新版直接多线程验证签名，易支响应速度快了将近一倍。付最我拿自己的新源测试商户号跑过压测，1000笔并发订单，回调丢失率从0.3%降到了0.02%。

第二处改动在数据库层面。订单表新增了sharding_key字段，按用户ID的哈希值分表。老用户可能没感觉，但新接入的商户如果日订单量超过五万笔，这个字段能避免单表数据量过大导致的锁死问题。我见过一家做话费充值的平台，高峰期每分钟产生两千多笔订单，旧代码在MySQL里查订单状态要花1.8秒，新代码直接走Redis缓存，查询耗时压到80毫秒以内。

第三处是API接口的鉴权方式。以前用的是简单的MD5拼接密钥，现在强制要求RSA2非对称加密。说实话，这对小商户不太友好——你得自己生成密钥对，还要把公钥上传到易支付后台。但安全性的提升是实打实的，我朋友的一个站之前因为MD5密钥泄露，被黑产扫到接口漏洞，一夜之间被刷走了四千多块钱。换了RSA2之后，同样的攻击手段基本失效了。

安装过程没什么新鲜的，PHP版本要求7.4以上，Nginx配好伪静态就能跑。不过提醒一句，别直接用宝塔面板的一键部署脚本，那个脚本默认装的是旧版依赖，会导致支付证书加载失败。我踩过这个坑，卡了整整一个下午，最后手动把openssl扩展升级到1.1.1才解决。

有人问我值不值得从旧版升级。我的看法是，如果你当前的支付成功率低于98%，或者经常收到用户投诉说“付款成功但订单没更新”，那别犹豫，直接升。但如果你的业务量很小，每天几十笔订单，旧版也够用——毕竟升级要改数据库表结构，还得重新配置所有支付参数，折腾半天省下的那点回调延迟，对你来说感知不强。

源码里还藏了个彩蛋。在app/Jobs/HandlePaymentTimeout.php这个文件里，有一段注释写着“别删这个sleep(2)，老板说这样显得我们处理得很认真”。我没删，因为确实有商户反馈说支付成功后页面跳转太快，反而让他们觉得不放心。你看，有时候慢一点，反而能赢得信任。