用途：用于第三方支付回调或 webhook 通知场景的安全检查与实现指导，涵盖微信支付、支付宝、Stripe Webhooks、PayPal IPN/Webhooks 等。
主要能力：
- 验签防伪：回调入口在解密前先验证平台签名，验签使用平台公钥/证书而非商户私钥，并按 Wechatpay-Serial 匹配对应平台证书以支持证书轮换；验签失败直接拒绝。
- 防重放：校验回调时间戳窗口（建议 5 分钟），按 transaction_id 做幂等，检查订单状态机，重复通知返回成功以停止重试。
- 业务校验：回调金额与本地订单金额严格一致，out_trade_no、appid、mchid 与本地/租户配置一致，金额不一致时拒绝入账并记录异常。
- 一致性：回调与对账复用同一套支付结果校验逻辑，对账只信任支付平台订单查询 API 返回。
- 实现完整性：支付链路中的占位/TODO 实现必须明确失败，不返回看似正常的假数据。
适用场景：系统涉及第三方支付回调、webhook 通知、notify_url、微信支付/支付宝回调处理时。
限制：资料未提供具体价格、收费、安装命令或平台支持范围；命令与代码示例保持原样，未展开。