如何正确配置 API Key、密钥与 IP 白名单
API Key 与 Secret 是支付系统对外暴露能力的“钥匙”，因此配置过程必须严谨。许多支付系统出现问题，并不是因为接口功能不完整，而是因为密钥管理、回调配置和访问控制没有落实到位。
建议将 API Key 的使用分为两个维度：接入权限控制和运维安全控制。前者用于限制哪些业务系统可以调用哪些能力；后者用于确保密钥在传输、存储和轮换过程中都不会暴露。
配置原则
- 每个商户或业务线使用独立的 API Key，避免共用。
- Secret 只保存在服务端，绝对不要硬编码到前端代码中。
- 密钥定期轮换，至少每 90 天审查一次。
- 正式环境与测试环境使用不同密钥，避免互相污染。
IP 白名单的作用
IP 白名单能够限定只有指定服务器能够访问某些接口，尤其适合作为平台对外暴露能力时的第一道防线。对于商户系统来说，建议把生产环境的服务器 IP 固定进白名单，避免外部未知地址访问。
配置建议
- 回调地址必须使用 HTTPS，并与白名单中的地址保持一致。
- 白名单中不应出现“0.0.0.0/0”这类过于宽泛的配置。
- 密钥变更时，先上线新密钥，再下线旧密钥，留出过渡窗口。
- 所有密钥相关操作都要写入审计日志，方便追责和排查。
常见配置误区
很多商户在接入时容易忽略两点：一是把 Secret 放进网页端脚本，二是把回调地址随意设置为临时域名。前者会导致密钥泄露，后者则会让支付结果无法稳定回调。真正合理的接入方式，是“服务端存储、服务器端签名、白名单限制、日志追踪”。
如果资金规模较大，建议在配置完基础密钥后再启用多因子验证、审计日志和异常告警，形成更稳健的运维闭环。