1 双向ssl

2

双向对商家太麻烦

nounce➕timestamp防重放

商家作为客户端生成订单号，支付宝作为服务端幂

但假如商家客户端连接到支付宝服务端被中间人，也是因为商家客户端没好好验支付宝服务端证书和公钥，属于自己的行为导致被中间人，自己请求支付宝时没验证公钥和证书就不要怪人用商家公钥窃听；

传输层告破之后，再用商家公钥即可窥视商家向支付宝传输的订单信息