支付宝开放平台密钥工具 — Alipay 开放平台密钥工具

支付宝开放平台密钥（RSA2） 本 Skill 做什么 用 scripts/generate_alipay_rsa2_keys.sh + reference.md 完成 本地生成 → 控制台上传公钥或 CSR → 配置 env/SDK → 加签与回调验签；不依赖桌面密钥工具或 MCP。必须在 开放平台 开发信息 中完成 应用侧密钥或证书配置，并获取 支付宝公钥/证书（业务步骤，非脚本可代替）。 脚本用法：在仓库中路径一般为 skills/alipay-open-platform-keys/scripts/generate_alipay_rsa2_keys.sh。公钥模式直接执行；证书模式加 --cert 与 --subj（或 ALIPAY_CSR_SUBJ）。完整参数执行 bash …/generate_alipay_rsa2_keys.sh --help。 公私钥是否成对：用同目录下 scripts/verify_alipay_rsa2_keypair.sh（bash …/verify_alipay_rsa2_keypair.sh <私钥.pem> <公钥.pem>，顺序可互换）；或代码中调用项目里的 alipay_rsa2.rsa_keys_match。见下方 Agent 约束，默认由用户在本地执行，避免私钥进入对话上下文。 闭环边界 环节 是否依赖 Skill 外 生成密钥/CSR（脚本 + OpenSSL） 否 控制台上传、下载平台证书 是 网关权限、产品签约 是 执行前确认 openssl 可用（见 reference.md）。脚本不需要 Python。 何时用 生成或轮换 RSA2 密钥、区分公钥/证书模式、排查验签与密钥不匹配。 流程要点 公钥模式：脚本产出私钥 + 公钥 PEM → 控制台上传应用公钥 → 保存支付宝公钥用于验签。 证书模式：--cert 产出私钥 + app.csr → 控制台上传 CSR → 下载应用公钥证书与支付宝公钥证书（及根证书，若提供）→ SDK 按文档配置路径。 安全：私钥不入库；.gitignore 含 .pem、.csr、alipay_keys_ 等（按项目约定）。 执行清单

• [ ] OpenSSL 可用；已用脚本生成密钥文件（或按 reference 手写等价命令）
• [ ] 控制台已绑定公钥或已完成证书流程
• [ ] 支付宝侧用于验签的公钥或证书与 APPID、环境（正式/沙箱）一致
• [ ] 密钥未进入版本库