支付宝开放平台

支付宝开放平台（https://open.alipay.com/） 面向开发者、商户与服务商，提供小程序、网页/移动应用、第三方应用、IoT 和小游戏等接入入口，以及 API、文档、开发工具、沙箱与支持中心。它适合判断接入方向、创建应用和寻找联调入口；查看账单或处理日常结算时，应回到对应的商户后台。

平台页面与权限会随应用主体、行业和产品变化。下文只整理从入口选择到测试上线的工作顺序；资质、产品权限、费率、审核时效和协议条款，以登录后的控制台和最新官方文档为准。

先按项目形态选择入口

你的任务	优先入口	开始前确认
在支付宝客户端提供服务	小程序开发（https://open.alipay.com/module/miniApp）	主体类型、服务类目和所需能力
把支付宝能力接入网站或移动 App	网页/移动应用开发（https://open.alipay.com/module/webApp）	支付、登录、营销能力与业务流程
为多个商家做 SaaS 或代开发	第三方应用开发（https://open.alipay.com/module/isvApp）	商家授权关系、服务商身份与责任边界
接入硬件或即点即玩场景	IoT / 小游戏开发	设备、运行端、审核要求和接口范围

先画清角色

同一项目可能同时涉及小程序、网页应用和第三方应用，但不要为了“先拿到接口”随意创建多个应用。先画清用户入口、商户主体、服务商角色和回调服务，再选择应用类型。

创建应用后，按阶段推进

开发配置阶段

1. 使用已完成实名认证的支付宝账号登录平台，确认应用类型和使用场景。
2. 创建应用并补齐名称、图标等基础信息，再按场景添加产品功能；应用已创建不等于生产接口已经开通。
3. 进入开发配置，核对 AppID、网关、密钥或证书、授权回调和异步通知地址。

联调与上线阶段

1. 先在沙箱或其他官方测试环境完成下单、授权、回调、验签和异常分支联调，保存可复现的请求与返回日志。
2. 完成自测和安全检查后提交审核；审核通过并上线，才进入生产环境调用阶段。
3. 新增或删除功能后重新检查线上影响，避免把已被用户使用的功能直接移除。

官方支付开发指引也按“创建应用—开发配置—沙箱联调—申请上线”组织流程，但具体页面字段仍以当前控制台为准。

沙箱和生产环境必须分开

沙箱配置

沙箱用于接口开发和联调。官方支付示例要求使用沙箱 AppID、沙箱网关、沙箱应用私钥和沙箱支付宝公钥；这些值不能直接替换生产配置。

切换生产前

• 把测试订单、回调域名、金额单位和签名材料在环境配置中明确标记。
• 联调通过后，按照应用验收、审核和上线要求切换生产环境。
• 某个产品在沙箱不可用或权限不同，先查支持中心的沙箱支持列表和常见问题。

回调验签是上线前的安全边界

密钥与证书

• 私钥、证书私密材料和敏感令牌只放在受控服务端或密钥管理系统。
• 服务端按官方 SDK/API 规则完成请求签名和响应验签，确认 AppID、密钥类型、证书序列号与环境对应。

订单与通知

• 异步通知不能只凭前端成功页确认订单；服务端要验签、校验订单与金额，再更新状态并记录幂等结果。
• 遇到验签失败、回调重复或接口权限不足，保留请求时间、接口名、错误码和脱敏日志后再逐项排查。

支付密钥、证书和回调配置属于高风险信息。不要通过关闭验签、放宽回调校验或复制他人配置来“先跑起来”。

文档、SDK 与排错入口

按应用类型找文档

支付宝开放平台文档中心（https://open.alipay.com/developmentDocument.htm）集中提供小程序、网页/移动应用、第三方应用、IoT、插件等资料，并列出示例代码、API 工具、SDK/开发工具和 FAQ。定位接口时，先按应用类型进入对应业务文档，再核对参数、签名、权限和回调说明。

按错误现象排查

请求异常可结合支持中心的沙箱调试、云验收、云监控、安全监测和联调日志排查。权限错误优先检查应用是否添加产品、主体是否满足要求、服务商授权是否完整，而不是只改请求参数。

适合哪些团队，哪些信息要复核

• 需要在网站、移动 App 或支付宝小程序中接入支付、登录、营销能力的产品与开发团队。
• 需要通过第三方应用为多个商户交付小程序、网页应用或运营能力的 SaaS/服务商。
• 希望先用官方沙箱、示例和 API 工具验证方案，再安排审核与生产上线的独立开发者。

应用主体资质、服务类目、产品权限、费率与结算方式、审核结果、接口限流和地区/行业限制都可能不同。涉及真实收款、用户授权或生产数据时，以控制台、协议和最新文档的最终显示为准。