9月20日，支付宝开放平台发布《支付宝API商家转账产品升级通知》。为了进一步保障商家资金安全，支付宝将对API接口类转账产品能力进行升级。正在对接或已完成对接的服务商和商家，需要尽快通过支付宝开放平台配置服务器IP白名单。
对于已经接入这类转账能力的商家和服务商来说，这次调整不只是增加一个后台配置项。发起转账请求的服务器来源被进一步纳入安全配置后，服务器和网络环境发生变化，也可能影响转账接口的正常调用。
几个月前，支付宝刚刚对另一种“固定IP”发出过提醒。
今年4月，支付之家曾提到，支付宝开放平台因网络架构优化，提醒开发者检查服务器、防火墙和路由器等是否存在将支付宝开放平台域名静态绑定至固定IP的情况。存在相关配置的，需要改为通过域名解析访问或删除原有绑定，否则支付宝网络调整后可能影响接口调用。
4月要求开发者不要把IP写死，9月却又要求配置IP白名单。两次调整涉及的并不是同一种IP。
4月处理的是支付宝一侧的目标地址。商家服务器访问支付宝开放平台时，不能假设一个域名始终对应某个固定IP。支付宝网络架构调整后，域名背后的实际地址可能变化，如果开发者把目标IP直接写死，接口访问反而可能出现问题。
9月要求配置的，是商家或服务商发起API请求时使用的服务器来源IP。这次配置针对的是发起转账请求的服务器来源。
4月的调整让开发者不再依赖支付宝的固定网络地址。这一次，商家一侧的服务器来源也被纳入转账接口要求。两次IP调整分别落在API通信链路的两端。
对API商家转账来说，服务器来源之所以被单独提出，与这类业务的资金操作方式直接相关。
商家转账可以由企业后台系统按照业务流程调用接口发起。当后台系统能够直接调用资金接口时，服务器本身也就参与到了资金操作中。
API调用本身已有身份认证、请求签名和权限校验等机制，用于确认调用者身份和请求是否合法。服务器IP白名单增加的是网络来源要求，用于把转账请求与预先配置的服务器来源对应起来。
这一次，支付宝把服务器IP白名单明确放进API接口类转账产品升级通知，并要求正在对接和已经完成对接的服务商、商家尽快配置。对于能够由后台系统直接触发资金操作的接口，服务器来源也成为这次安全配置的一部分。
微信支付的商家转账也已经将请求来源IP纳入接口调用要求。
对单一商户来说，配置服务器IP首先是一项接入调整。对于同时服务大量商家的ISV、SaaS服务商、ERP服务商和第三方应用运营方，这项调整还会影响日常系统运维。
这类服务商的接口请求可能来自统一服务器集群或网络出口。服务器出口调整、灾备切换、服务器迁移，都可能改变实际发起API请求的网络来源。
当服务器来源被纳入资金接口配置后，这些原本主要属于基础设施运维的问题，也可能直接影响转账接口能否持续正常运行。服务商调整系统架构时，需要同步处理对应的接口来源配置。
当越来越多资金操作由企业后台通过API完成，服务器怎么部署、请求从哪里发出，就不再只是技术运维问题，也开始直接影响转账接口能否正常工作。
这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。
未经允许，严禁转载。发布者：支付之家 转载或引用请注明出处：https://www.zfzj.cn/15285.html
