支付回调没有收到

支付回调是第三方服务向你的站点发起的服务器请求。它不经过用户浏览器，因此不能依赖登录态、人机验证或前端跳转完成订单确认。

检查顺序

1. 确认支付平台显示订单已支付，记录订单号和回调时间。
2. 确认回调 URL 使用 HTTPS 且公网可访问。
3. 在“安全防护设置”中为回调路径配置最小范围的放行规则。
4. 确认 CC、ACL、IP 黑名单和地理限制没有拦截支付平台。
5. 回调路径不要设置公共缓存，也不要强制跳转到需要登录的页面。
6. 在源站和 CDN 日志中搜索回调时间、状态码和 requestId。

建议的回调处理

• 服务端先验签，再按订单号幂等更新状态。
• 已处理过的订单重复回调应返回成功，不要重复增加余额。
• 业务处理完成后尽快返回平台要求的成功响应，耗时任务放到队列。
• 不要把支付密钥、完整回调报文或用户隐私写入公开日志。

如果使用 CC 白名单，优先按回调域名、固定路径或平台公布的签名条件放行，不要直接关闭整站防护。