支付宝的无网支付是如何实现

[414348489]

[des]

@arens ？？如果没有网络，仅仅通过扫码，怎么能知道是谁扫的码？？

[des]

搜了一下是用声波传输数据的。

不过嘛，可能有黑产会盯上。

[Tony2ee]

动态口令牌而已
你手机上显示的码只是为了告诉商家 /支付宝“我是谁”，
至于收款商户信息、常用地点检验、金额检验等等操作都是通过商家联网与支付宝对接以后在云端完成的。
离线扫码支付实际上是个很不错的功能的，有效解决了许多商场的超市在地下信号差导致交易失败的问题，有时候地下的超市的无线 POS 机由于信号原因无法付款的时候支付宝是个很好的解决方案

[xdeng]

@just4test 怎么保证服务器时间和手机时间一致或误差？公交卡里的余额好像支持 nfc 的手机可以读出来

[SPACELAN]

公司里用的 rsa token 不也是一样离线验证么

[SourceMan]

动态口令咯

[ohhe]

你的哪个卡可以上网？不都是可以支付

[ohhe]

所以两方只要一方可以上网就可以了

[qzy168]

商家刷的时候，又不需要你输入密码确定。

[chromee]

@ohhe 商家不上网怎么收到钱

[cmxz]

@csdreamdong 你的二维码亮出来让商家扫就是你确认支付的行为

[JJaicmkmy]

@csdreamdong 如果是商家出示二维码，你来扫这种是必须联网的。但是如果是你出示二维码，商家来扫这种是可以离线的。

[zhicheng]

那个二维码和信用卡的磁条信息差不多，再加上时间戳，随机数和签名防伪造。公交卡要复杂一些。

[justina25]

内部人士。。很高兴有人讨论这个问题。。基本说的都对的。
提个小问题大家思考下， RSA 这种 Token 都是基于时间的，换句话动态令牌都是隔一分钟刷新一次 key 值的。支付宝的付款二维码在离线情况下除了每分钟刷新之外，还可以手动刷新二维码，这是怎么做到的？
（可以掏出手机看下，点那个每分钟自动刷新的地方也可以是手动刷新）

[iyangyuan]

商家有网

[cheese]

@justina25 时间戳精确到秒，然后对应的一分钟内所有的 60 个时间戳都能被识别？

[justina25]

@cheese 这样暂不说系统成本很大。。准确度也很有问题， 1 分钟一变的话算上时间窗口可以允许 3 分钟之内的时间误差。精确到秒的话你只要时间差 3 秒就验证不通过了。。

[CYKun]

@justina25 用序列号？客户端每次生成 token 时把序号加 1 ，服务器收到 token 后比较其中的序号和用户最后一次交易的序号，前者比后者大说明是有效 token 。

[arens]

@des
@csdreamdong
是商家来扫码，你手机上的码只是你的基本信息，而你愿意让商家来扫也被系统认为“你愿意支付”

声波支付前几年的一个创业项目里就用过，的确不安全~