payment-gateway-integration

用途：帮助开发者在应用中集成安全支付处理，覆盖 Stripe、PayPal、Square，并处理错误与合规要求。主要能力：以 Stripe（Node.js）为例，提供创建 PaymentIntent、创建订阅、退款等示例；处理 Webhook，校验签名并响应 payment_intent.succeeded、invoice.payment_failed 等事件；PayPal 部分指向 references/paypal-integration.md，包含订单创建与捕获、退款、Webhook、前端 SDK 集成及成功/取消回调。使用方式：使用官方 SDK，如 const stripe = require('stripe')(process.env.STRIPE_SECRET_KEY)；金额按分转换，如 Math.round(amount * 100)；Webhook 路由使用 express.raw({ type: 'application/json' }) 并调用 stripe.webhooks.constructEvent 校验。安全清单：仅用官方 SDK、验证 Webhook 签名、不记录完整卡号、最小化存储支付数据、先在沙箱测试、支付路由使用 HTTPS、处理所有错误、使用幂等键、实现重试逻辑。最佳实践：记录交易 ID 而非卡数据、处理所有支付状态、提供明确错误信息；不要直接处理原始卡数据、不存储敏感支付信息、不硬编码 API 密钥、不跳过 Webhook 签名验证、不忽略失败支付事件、不在生产使用测试密钥。限制：资料未提供 Square 的具体实现细节、价格或收费信息，也未提供完整 PayPal 代码，需参考对应文件。