@yunye 老哥稳

湿气是比较笼统的，归纳出的结论。

谢谢

@dawn009 言简意赅

我可以去你家里蹭网吗

随便试错几次就行了，无论是什么账号，或者直接返回上一步，然后下一步，循环几次就会显示跳过按钮了

能干什么...

@tiscool 同

@MZSAN trojan 的 client hello 特征是指什么，可进一步说明下吗？

不错很秀。。。🤩

return_url 并不参与签名。
异步通知的 url 需要在支付宝控制台填写，会验证。所以异步里更新订单是比较安全的。

支付宝有很多支付产品，当面付 和 手机网站支付 接入上都差不多，回调体也差不多，我记得 手机网站支付 如果用户取消也会有回调，只是状态码不一样。

在异步中，查一下订单状态是必要的。 这样伪造都没办法伪造。
不用查的前提是代码，密钥之类的没有出现泄密。

肯定要验证啊，回调只是通知，没收到通知也得定时主动验证。
异步通知已经是异步请求了，增加一个验证又不会影响你的体验，加。
一般两个都要实现。
我之前接手过一个系统，支付回调里连支付状态是不是 success 都没判断，直接就拿 id 更新订单状态了，😂幸亏财务一直在一笔笔的核对。

爆炸之路

思路清奇

现在算好了吧。早期 adsl 没过路由器公网 IP ，IE 浏览器网马就中标。

屏蔽掉国外的 ip 你会发现瞬间清净很多。

ipv4 拢共 40 亿个，刨去非公网的 IP ，还剩多少？全扫描一遍很快就完事了。

多出错，多 migrate 。

深圳联通到软银福岛县拉满。