用途：为第三方支付回调（微信支付、支付宝等）和 webhook 通知提供安全检查规范，防止回调伪造、重放攻击和金额篡改。
主要能力与要点： 一、验签防伪。回调入口须在解密前先验证平台签名，验签使用平台公钥/证书而非商户私钥，并按 Wechatpay-Serial 匹配对应证书以支持轮换；验签失败直接拒绝，不继续处理。 二、防重放。采用三层校验：时间戳窗口（建议 5 分钟）、按 transaction_id 幂等判重、订单状态机幂等；重复通知返回成功以让平台停止重试。 三、金额校验。回调金额须与本地订单应付金额严格比对，口径与下单请求一致；不一致时拒绝入账并记录异常，可封装统一口径方法防止分叉。 四、链路一致性。回调与对账复用同一套支付结果校验逻辑，对账补单同样校验金额、商户号、AppID；只信任支付平台订单查询 API 的真实返回，人工点击对账按钮不作为支付成功依据。 五、实现完整性。支付链路不得遗留占位/TODO 实现；占位实现须明确抛异常而非返回看似正常的假数据，并有日志或监控发现其被触发。
适用范围：微信支付 API v3、支付宝开放平台、Stripe Webhooks、PayPal IPN/Webhooks 及其他第三方支付/webhook 通知。
限制：本技能为安全规范与检查清单，具体接口与字段实现细节暂未提供；实际接入需结合对应平台官方文档。