核心功能定位
Payment Integration Guide 是一款面向开发者的专业支付集成辅助技能，深度覆盖全球8大主流支付服务商：Stripe、PayPal、支付宝、微信支付、Apple Pay、Google Pay、Razorpay 和 Square。该技能以"代码优先、安全至上"为设计理念，提供从 API 认证、订单创建到 Webhook 处理的全链路技术方案。
显著优势
1. 多语言支持与实战导向
技能强制要求提供可运行代码（优先 TypeScript/Node.js），涵盖支付流程中的关键实现：签名验证、金额单位转换（cents/fen/paise）、幂等性控制等。相比泛泛而谈的文档，其代码示例包含错误处理、类型定义和安全注释，可直接用于生产环境。
2. 安全体系完备
内置 PCI DSS 合规指引、Webhook 签名验证、敏感数据防泄漏等10项安全清单。特别强调"永不信任未验证的 Webhook"原则，提供标准的签名校验代码模板，有效防范支付欺诈攻击。
3. 多区域支付覆盖
针对中国（支付宝、微信支付）、印度（Razorpay）、欧美（Stripe、PayPal、Square）等市场提供差异化实现方案，包含各地区的金额单位处理（元/分、卢比/派萨）和本地化 API 差异说明，适合全球化业务的技术决策。
4. 测试工具链整合
汇总各平台的沙箱环境配置、测试卡号、CLI 调试命令（如 stripe listen），降低本地开发调试成本。
潜在局限
- 语言绑定偏好：默认输出 TypeScript/Node.js，其他语言开发者需自行转译
- 版本时效风险：支付 API 迭代频繁，部分端点可能随平台更新而失效
- 合规地域限制：未涵盖部分新兴市场（如东南亚本地钱包、中东地区）的支付方案
- 移动原生 SDK：侧重服务端集成，移动端原生 SDK（iOS/Android）细节覆盖有限
适用人群
- 需要快速接入多支付渠道的 SaaS/电商平台后端开发者
- 负责支付系统安全审计的技术负责人
- 拓展海外市场的产品经理（技术方案评估）
- 需通过 PCI DSS 合规认证的开发团队
风险提示
| 风险类别 | 说明 |
|---------|------|
| 密钥泄露 | API 密钥若误提交至代码仓库，可能导致资金损失 |
| 金额单位错误 | 混淆元/分、美元/美分会导致订单金额偏差100倍 |
| Webhook 伪造攻击 | 未验证签名的 Webhook 可能被恶意利用伪造支付成功通知 |
| 沙箱/生产环境混淆 | 测试密钥误用于生产环境会造成真实资金流动 |
| 幂等性缺失 | 网络重试导致重复扣款，引发客诉与退款纠纷 |
建议配合各支付平台的官方 SDK 使用，并在上线前进行完整的沙箱→ staging→ 生产的三阶段验证。