支付回调是支付平台在用户完成付款后，通过HTTP请求把交易结果主动推送给商户服务器的机制。不是什么神秘协议，就是一笔交易结束后，支付平台自动"喊"你的服务器一声，告诉它这笔单子状态变了。
一句话定义：支付回调就是支付平台的"自动回执"
你下单付款后，支付宝或微信会在几秒内，向你的服务器发一个POST请求，把交易流水号、金额、支付状态、签名等信息塞在请求体里。你的服务器收到后解析验签，确认没问题就把订单状态改成"已支付"，然后发货或开通会员。
跟你去便利店刷卡一样——收银机"嘀"一声打印小票的过程，就是一次回调。只不过线下是小票纸，线上是个JSON数据包。
用快递签收来比喻，瞬间理解回调机制
回调这个事，老韩去年刚入行的时候被绕晕过两次。后来他琢磨出一个比喻，我觉得特别到位。
你把支付想象成网购快递：
你在淘宝下单 → 你发起支付（像买家下单）
快递员送货上门 → 支付平台处理交易（像物流配送）
你签收后，快递系统更新"已签收" → 支付平台发回调通知商户（像物流系统推送签收状态给卖家）
关键就在这：快递员不会等你开门才走，他按门铃放下包裹就离开了。回调也是——支付平台发完请求，等你的服务器返回"HTTP 200"就算完成。如果你服务器没响应，它会隔几分钟重试一次，重试五六次还没响应就标记为"回调失败"。
老韩后来每次讲回调都举这个例子，商户听完基本不会再问第二遍。
回调、异步通知、同步跳转——三个最容易混淆的概念
百度前十篇里很少有人把这三角关系讲透的。
同步跳转是你付完款，页面自动跳回商户网站的那个步骤。你肯定见过——付完钱浏览器白屏一秒，然后跳回"支付成功"页面。这个过程走的是浏览器端，用户能看见。
异步通知就是回调。它不走浏览器，是服务器对服务器的直接通信。用户完全无感知，在后台静默完成。
这俩的本质区别在哪？同步跳转可以被用户关掉浏览器打断，回调不会。你付款后手快把页面关了，同步跳转就没了，但回调照样发。这就意味着：订单状态更新必须依赖回调，不能依赖同步跳转。
我们站后台有个商户去年11月就是栽在这。他只在同步跳转页面里更新订单，没处理回调。结果用户付完钱秒关页面，钱到账了订单还是"待支付"，用户打电话骂了他一上午。
还有一个很多人搞混的词叫"轮询"。轮询是商户主动定时去问支付平台"这笔单子付了没"，回调是支付平台主动来通知你。方向完全相反。回头想想那个快递比喻——轮询就是你每隔十分钟打电话问快递员"送到了没"，回调就是快递系统自动发短信告诉你"已签收"。高下立判。
之前写过一篇支付回调收不到？按这五步排查，十分钟搞定，里面专门讲了轮询和回调的适用场景，这里就不展开了。
回调在实际业务中到底干什么用
回调做的事比你想象的窄，但每一条都致命。
- 确认资金真实到账——前端显示"支付成功"可能是假的，回调里验签通过的才算数
- 触发发货逻辑——虚拟商品自动发卡密，会员自动开通，都在回调里执行
- 记录支付流水——把支付平台的交易流水号存下来，对账时一条条勾对
- 风控兜底——回调里再验一道金额，防止前端金额被篡改。上个月我就在回调里拦截过一笔被改了金额的单子，前端显示1元实际支付0.01元，回调里金额对不上直接拒绝处理
做支付站三年，我对回调的态度就是：所有业务逻辑必须放在回调里处理，同步跳转只用来展示结果。这是血的教训。
和回调沾边的术语，聊几个你以后会碰到的
回调地址（Notify URL）：你在支付平台后台填的那个URL，支付平台就往这个地址发POST。必须是公网能访问的，本地localhost不行。
签名校验：回调请求里带一个sign字段，你用自己的密钥按同样算法算一遍，两个sign对得上才算合法。不验签直接用回调数据，等同于把家门钥匙插在锁孔里。
curl -X POST -d 'out_trade_no=20260718001&total_fee=100&sign=abc123' https://你的域名.com/notify
上面这行命令可以直接模拟回调请求，开发联调的时候特别好用。我们站新来的小周第一次知道这个命令的时候，眼睛都亮了。
幂等处理：同一个订单可能收到多次回调（重试机制导致的），你的处理逻辑必须支持幂等——同一笔单子处理一次和十次结果一样。最简单的做法是回调入口先查数据库，订单状态已经是"已支付"就直接返回成功，不再重复发货。
还有一个概念叫"异步"，听起来高大上，翻译成人话就是：支付平台发完回调不等你处理完，直接断连。你的服务器如果处理慢，建议收到回调后先返回200，再用消息队列异步处理业务逻辑。
关于聚合支付和第四方支付到底怎么选？里面也提到了回调机制的差异，不同平台的回调策略确实不一样，有些平台重试间隔特别短，有些平台签名算法奇葩，选型的时候得多留意。
回调这事说穿了就一个POST请求，但三年下来我被它折磨的次数比什么都多。半夜被商户电话叫醒，十次有七次是回调出了问题。现在你明白它是什么意思了，剩下就是别在我踩过的坑里再踩一遍。