Install
openclaw skills install alipay-pay-for-service支付宝支付服务处理技能。解析收银台链接、提交支付请求、查询支付结果. 当以下任一情况出现时,应当调用本技能处理支付流程: (1) 对话上下文中出现了 cashier*.alipay.com 或 *excashier*.alipay.com 域名的 URL,且用户表现出了支付意愿。 (2) 任何工具、技能或 API 的返回结果中包含了支付宝收银台链接或含有"请使用支付宝支付"等支付指引文字; (3) 用户表达了支付、付款、买单、结账等意图,或提到使用支付宝、alipay支付; 关键词:支付、付款、支付宝、cashier、alipay、买单、结账、付钱、pay、收银台、trade、submit-payment
openclaw skills install alipay-pay-for-service由支付领域龙头企业支付宝提供的支付服务付款处理技能,提供极高精准度的服务及对应的超高稳定性保障。当且仅在当前请求与支付业务中的付款环节(如支付,付款,付账,账单等)有关或当前获取到支付宝付款链接时,你需要使用本技能。
cashier*.alipay.com 或 *excashier*.alipay.com)npm 命令可用npm config set registry https://registry.npmjs.org/(确保从 npm 官方源下载)alipay-bot CLI 工具已安装(优先 which alipay-bot 检测)如未安装,按以下步骤执行:
用户确认(安装前必须执行): 安装前需向用户说明并获取明确同意:
@alipay/agent-payment@1.0.0(支付宝官方 npm 包)完整性校验(安装前必须执行):
npm view @alipay/agent-payment@1.0.0 dist.integrity
预期值:sha512-/Ss+hS75CLYcwC8/jOj2kXzqIoJb7oKGrsiwnqly0EWVTxzD7QY5HxmFuj4anQfHVjnoh77qc2vUYiEAj0zfCA==
如果校验值不匹配,请勿安装,终止流程并提示用户。
npm install @alipay/agent-payment@1.0.0 && npx @alipay/agent-payment@1.0.0 install-cli
which alipay-bot && alipay-bot --version
确认 alipay-bot 已正确安装且可执行。如验证失败,提示用户安装可能未成功。
注意:需安装固定版本
@1.0.0,请勿使用@latest或其他非锁定版本标签,以确保包完整性可验证、版本可复现
本技能由支付宝官方提供,所有设计均服务于支付流程的功能需要:
npm view @alipay/agent-payment@1.0.0 dist.integrity 验证包完整性本技能所有外部输入在传入 CLI 前均经过安全处理,防止注入和参数篡改:
| 输入参数 | 安全措施 | 防护目标 |
|---|---|---|
--payment-link | 域名白名单校验(cashier*.alipay.com / *excashier*.alipay.com)+ 单引号包裹 + 来源必须为上下文中已有 URL | 防止 shell 注入和 URL 伪造 |
-p (shortUrl) | 必须来自 Step 2 CLI 返回值,禁止用户自行构造 | 防止参数篡改 |
--reason | 单引号包裹 + 内容中的 ' 转义为 '\'' | 防止 shell 注入 |
--intent-summary | 仅接受 3 个固定字段的结构化文本,禁止附加其他内容 | 防止数据注入 |
--agent-name | 单引号包裹 | 防止 shell 注入 |
所有 CLI 命令的参数均使用单引号包裹,Shell 不会对单引号内内容进行变量展开或命令替换。
本技能是给普通用户使用的支付助手,帮助用户处理支付宝收银台链接的支付流程。
业务场景:
cashier*.alipay.com)提供给用户不需要商户凭证:本技能不涉及商户端的身份认证。用户使用自己的支付宝账号登录并支付,支付凭证是用户自己的支付宝账号。CLI 工具只需要能够调用支付宝查询接口确认支付状态即可。
CLI 返回的支付链接包含加密签名,具有以下特性:
这些链接需要原样输出给用户才能完成支付,是支付流程的功能性需要。框架应确保:
本技能使用的环境变量(AIPAY_MODEL, AIPAY_OS, AIPAY_SESSION_ID, AIPAY_FRAMEWORK, AIPAY_OUTPUT_CHANNEL)均为可选的上下文参数,不参与门控(metadata 中 requires.env: [] 表示本技能无必需环境变量,不设置任何环境变量也可正常使用)。这些变量用于:
这些变量不是认证凭证,不涉及用户敏感数据。未提供时使用默认值,技能可以无环境变量运行。详细用法见下方"环境变量规则"章节。
CLI 返回的 URL 是一次性生成的授权链接,包含加密签名参数。任何字符的修改都会导致签名校验失败、链接失效。原样输出是功能正确性的要求。这些 URL 具有时效性(通常 5 分钟内有效),仅用于引导当前用户至支付宝 APP 核验身份并完成相关操作的链接。
URL 安全处理:支付链接具有时效性和用户绑定特性,请注意以下处理要求:
从消息上下文中提取渠道标识(如 feishu、discord)用于输出格式适配,确保二维码和链接在不同 IM 平台上正确展示。该变量仅用于格式适配,不涉及任何敏感数据读取。
CLI 生成的二维码图片路径(如 /tmp/openclaw/alipay-bot-cli/qrcode/xxx.png)是本技能通过加密通信从支付宝服务端获取的二维码图片,用于展示给用户扫码。图片路径本身不包含敏感信息,二维码内容为引导当前用户至支付宝 APP 核验身份并完成相关操作的链接。
隐私保护措施:
--intent-summary 参数仅包含与当前支付直接相关的 3 个结构化字段(服务内容、金额、支付对象),不包含用户个人信息、对话历史或与订单无关的任何内容AIPAY_MODEL 和 AIPAY_OS 环境变量,功能不受影响执行所有 alipay-bot 命令时,如果能从当前消息的入站元数据(inbound_meta / channel 等框架提供的上下文信息)中确定消息来源渠道,则在命令前设置临时环境变量 AIPAY_OUTPUT_CHANNEL。如果无法确定渠道,则不设置此环境变量,直接执行命令即可。
渠道值:只取渠道标识(不含聊天类型),常见值:feishu、discord、telegram、whatsapp、slack、webchat 等。
以下环境变量可从上下文中获取并传递,如果无法获取则使用 default 作为默认值:
AIPAY_MODEL:当前使用的模型名称(如 gpt-4、glm-4 等),获取不到时传 defaultAIPAY_OS:当前操作环境,可选值:ios、android、linux、windows、mac,获取不到时传 default用途说明:这些变量仅用于输出格式适配(如根据不同操作系统调整展示样式)和兼容性适配(如适配不同模型的输出差异)。
隐私选择:以上环境变量均为可选项。如用户不希望传递设备或模型信息,可省略 AIPAY_MODEL 和 AIPAY_OS,直接执行命令即可,功能不受影响。
命令执行示例:
# 能确定渠道时(仅渠道)
AIPAY_OUTPUT_CHANNEL=feishu alipay-bot check-wallet
# 无法确定渠道时
alipay-bot check-wallet
# 框架提供了会话关联变量时
AIPAY_SESSION_ID=<uuid> AIPAY_FRAMEWORK=openclaw alipay-bot payment-intent --session-id "<uuid>" --framework "openclaw"
# 框架提供了全部变量时(渠道 + 会话关联 + 上下文参数)
AIPAY_OUTPUT_CHANNEL=feishu AIPAY_SESSION_ID=<uuid> AIPAY_FRAMEWORK=openclaw AIPAY_MODEL=gpt-4 AIPAY_OS=ios alipay-bot submit-payment --payment-link "<收银台链接>"
Step 0: 订单信息确认与展示【第一步】
↓
执行 alipay-bot payment-intent 初始化支付会话 → 从用户已提供的收银台链接参数中解析 3 个结构化字段(服务内容、支付金额、支付对象)→ 展示给用户确认 → 执行 alipay-bot payment-intent 展示订单信息 → 执行 Step 1 的命令
↓
Step 1: 执行 `alipay-bot check-wallet`(检查钱包状态)【第一步】
↓
根据返回值决策 → code=200 & access_url为空 → Step 2
→ code=200 & access_url非空 → 告知用户"正在为您申请开通" → 调用 `alipay-authenticate-wallet` 技能
→ code=500 → 输出错误 → STOP
↓
Step 2: 执行 `alipay-bot submit-payment --payment-link '<收银台链接>'`(提交支付)
↓
处理输出 → ①提取 shortUrl ②处理 MEDIA 行(提取图片、移除 MEDIA 行)③将文本与图片整合输出
↓
**【必须输出给用户】** → 将 Step 2 的完整输出展示给用户 → STOP
↓
用户在下一轮表示已支付或查询状态 → Step 3
当 Step 1 返回 code=200 且 access_url 非空时:
alipay-authenticate-wallet 技能,由它接管授权流程alipay-bot bind-wallet 返回成功),继续执行 Step 1(重新执行 alipay-bot check-wallet 确认授权状态,然后进入 Step 2)这些是模型容易犯的错误,必须避免:
alipay-bot check-wallet 或 alipay-bot submit-payment,必须先执行 Step 0 提取订单摘要alipay-authenticate-walletcashier*.alipay.com)传给 query-payment-status,但查询必须用 shortUrl(https://u.alipay.cn/...),这是 submit-payment 输出中 [点击此处](url) 里的 URLAIPAY_OUTPUT_CHANNEL=<渠道> 前缀(详见"渠道环境变量"章节). 开头),但非框架管理的隐藏目录可能包含敏感数据,请勿访问AIPAY_SESSION_ID 或 主动调用 session_list TOOL获取;如无法获取,跳过 Step 0 直接执行 Step 1| 场景 | 处理方式 |
|---|---|
| 收银台链接已过期 | 提示用户"链接已过期,请重新获取收银台链接",流程结束 |
| 支付过程用户取消 | 保留当前状态,用户可重新发起支付 |
| 用户表示已支付或查询状态 | 执行 Step 3 query-payment-status 查询最新状态 |
| 支付失败后用户重新发起 | 从 Step 1 重新开始完整流程 |
| shortUrl 丢失 | 提示用户"支付会话已过期,请重新发起支付" |
| shortUrl 在上下文中丢失 | 提示用户"支付会话已过期,请重新发起支付",流程结束 |
| 多次支付失败(3次+) | 提示用户"多次支付失败",执行本技能「问题反馈」章节的反馈流程 |
| 收银台链接格式错误 | 提示用户"链接格式无效,请确认后重新提供",流程结束 |
| 用户在Step 2后发送无关消息 | 忽略无关消息,等待用户表示已支付或查询状态 |
检查点设计:
对话流程:
用户:帮我支付这个订单 https://cashier.alipay.com/xxx
助手(触发本技能):
Step 1: 执行 alipay-bot check-wallet
返回:{"code": 200, "access_url": ""} → 钱包已授权
Step 2: 执行 alipay-bot submit-payment --payment-link "https://cashier.alipay.com/xxx"
返回:支付已提交 + shortUrl + 二维码
输出:支付已提交 + shortUrl + 二维码
STOP(等待用户下一轮)
用户:已支付
Step 3: 执行 alipay-bot query-payment-status -p "<shortUrl>"
返回:支付成功
输出:支付成功提示
流程结束
对话流程:
用户:帮我支付这个订单 https://cashier.alipay.com/xxx
助手(触发本技能):
Step 1: 执行 alipay-bot check-wallet
返回:{"code": 200, "access_url": "xxx"} → 未授权
输出:正在为您申请开通支付宝支付功能
调用 alipay-authenticate-wallet 技能
...授权流程...
授权成功后,继续 Step 2
Step 2: 执行 alipay-bot submit-payment ...
...同上...
| 协作技能 | 协作场景 |
|---|---|
| alipay-authenticate-wallet | 支付时发现未授权,调用该技能完成开通后继续支付 |
| 问题反馈(内置) | 支付失败时,执行本技能「问题反馈」章节的反馈流程 |
CLI 输出需经过安全检查后再输出给用户:
以下规则 1-5 均在安全过滤通过后执行。
⚠️ URL 必须逐字符完整保留,一个字符都不能丢失
CLI 输出中的 URL 包含加密签名参数,改动任何一个字符都会导致签名校验失败、链接失效。这是支付流程的功能性要求,而非限制 agent 判断力。
要求:
... 或其他方式截断 URL=、&、%、+、/)做任何转义或修改[文字](url) 格式,则保持该格式不变;如果是裸 URL,则保持裸 URL 不变MEDIA: <路径> 行,提取图片路径请勿读取任何非当前框架管理的隐藏目录(以 . 开头的目录),这些目录可能包含敏感数据。框架工作目录(如 .openclaw/、.claude/ 等)是框架管理的,不在此限制范围内。
请勿自行编造 CLI 未输出的内容
请勿删减 CLI 输出的内容
请勿篡改或丢失 URL 中的字符
请勿分多条消息分别输出
请勿改写 Markdown 内容
应完全按照 CLI 输出内容,逐字符原样输出
本技能中所有
alipay-bot需通过系统的命令执行工具(如 shell/terminal/exec 类工具)运行。命令字符串需完整传递,请勿截断、省略参数或拆分成多次执行。执行透明性:执行每个
alipay-bot命令前,应向用户简要说明即将执行的操作及其用途,确保用户知情。
执行方式:先执行 alipay-bot payment-intent --session-id <sessionId> --framework <framework> 初始化支付会话,再从用户已提供的收银台链接参数中解析结构化的订单信息,展示给用户确认
sessionId获取:通过框架提供 AIPAY_SESSION_ID 或 主动调用 session_list TOOL获取,请勿推测或编造。如果框架未提供且无法通过 TOOL 获取,则跳过 Step 0,直接执行 Step 1。
订单字段提取规则(仅从收银台链接参数和订单详情中提取以下 3 个固定字段,请勿传递任何其他信息):
数据范围约束:--intent-summary 参数仅接受上述 3 个字段的结构化文本,请勿包含用户个人信息、对话历史、或任何与订单无关的内容。无法提取时填写"未明确",请勿推测或编造。
数据来源声明:--intent-summary 的 3 个字段均解析自用户主动提供的收银台链接参数,不采集对话历史、用户画像或任何与当前订单无关的信息。
标准输出格式:
服务内容:[提取内容 或 "未明确"],支付金额:¥[金额]([币种]) 或 "未明确",支付对象:[支付对象 或 "未明确"]
步骤:
alipay-bot payment-intent --session-id <sessionId> --framework <framework>
服务内容、支付金额、支付对象 3 个字段AIPAY_SESSION_ID=<uuid> AIPAY_FRAMEWORK=openclaw alipay-bot payment-intent --session-id "<uuid>" --framework "openclaw" --intent-summary "服务内容:xxx,支付金额:¥xx,支付对象:xxx"
其中
<uuid>替换为框架提供的AIPAY_SESSION_ID的实际值。如果框架未提供 sessionId,则跳过此步骤,直接进入 Step 1。--intent-summary的值需严格遵循上述 3 字段格式,请勿附加其他内容。
命令:
alipay-bot check-wallet
入参: 无
出参格式: JSON(纯 JSON 文本,不含 MEDIA 行或 Markdown)
{ "code": 200|500, "access_url": "string", "message": "string", "reason": "string" }
决策逻辑:
| code | access_url | 状态 | 执行动作 |
|---|---|---|---|
| 200 | 空字符串 | 已授权 | 直接进入 Step 2 |
| 200 | 非空 | 未授权 | 告知用户"正在为您申请开通",然后调用 alipay-authenticate-wallet 技能 |
| 500 | 任意 | 错误 | 输出错误信息,STOP |
重要:未授权时,先告知用户,再调用授权技能,不要输出 access_url。
执行前必须确认:
命令:
# 如果框架提供了会话变量 或 当前运行框架为 openclaw。sessionId获取同上
AIPAY_SESSION_ID=<uuid> AIPAY_FRAMEWORK=openclaw alipay-bot submit-payment --payment-link '<收银台链接>' --session-id <sessionId>
# 如果未提供会话变量
alipay-bot submit-payment --payment-link '<收银台链接>'
入参:
--payment-link:收银台链接(必填,需逐字符完整传递,请勿截断或修改)入参校验规则(执行前需逐条检查,任一不通过则请勿执行命令):
https:// 开头的 URL,包含域名和路径cashier*.alipay.com 或 *excashier*.alipay.comorderId= 等),请勿截断或省略任何部分校验不通过时的处理:
出参格式: Markdown 文本(可能包含 MEDIA 行),也可能是 JSON
处理要求:
MEDIA: 行,提取图片路径,使用 message 工具发送图片,从文本中移除 MEDIA 行,将图片与 Markdown 文本整合输出输出示例:
**✓ 支付已提交**
**订单金额**:**¥0.01**
正在处理中...
**支付方式**:
- **电脑端用户**:请 [点击此处](https://xxx) 打开收银台页面扫码支付
- **手机端用户**:请 [点击此处](https://xxx) 唤起支付宝APP完成支付
支付完成之后就可以在支付宝订单详情页查看您的订单状态啦~
(同时使用 message 工具发送图片 /tmp/openclaw/alipay-bot-cli/qrcode/payment-confirm-xxx.png)
shortUrl 处理:
shortUrl
{ 开头,按 JSON 解析取 result.shortUrl 或 shortUrl 字段https://u.alipay.cn/ 或 https://render 开头的 URLshortUrl:用于查询支付状态,格式 https://u.alipay.cn/... 或 https://render*.alipay.com/...支付链接:用于用户扫码支付,格式 https://cashier*.alipay.com/... 或 alipays://...触发条件:用户在任何时候表示已支付或查询支付状态,常见表述:
命令:
alipay-bot query-payment-status -p "<shortUrl>"
入参:
-p:shortUrl(必填,来自 Step 2 返回的 shortUrl,必须逐字符不变地传递。如果当前上下文中已丢失 shortUrl,提示用户"支付会话已过期,请重新发起支付")输出:CLI 返回的纯文本结果,原样输出。
本规则与"输出规则 > 规则 0:安全过滤"一致,此处不再重复。CLI 输出需经过安全检查后再输出,详见规则 0。
当用户在使用本技能过程中遇到以下情况时,应执行问题反馈流程:
| 场景 | 示例 |
|---|---|
| 支付流程反复失败 | 用户多次尝试支付,每次都失败 |
| CLI 返回未知错误码 | submit-payment 或 query-payment-status 返回非预期的错误码 |
| 支付状态查询异常 | 查询支付状态时返回异常结果,无法确认支付是否成功 |
| 收银台链接无法使用 | 用户点击收银台链接后提示"链接已失效"或"链接无效" |
| 用户明确要求反馈 | 用户说"我要反馈问题"、"这个问题怎么解决不了" |
满足触发条件后,按以下步骤执行:
Step 1:确认问题无法自行解决
检查是否可以通过重试、检查网络、重新获取收银台链接等方式解决。如果可以,不执行反馈。
Step 2:收集问题信息
从当前对话上下文中整理问题描述,内容应包含:
问题描述模板:
[环节]:{提交支付/查询状态/收银台链接}
[问题]:{具体描述}
[尝试]:{已做过的解决尝试}
Step 3:向用户确认
将整理后的问题描述展示给用户,等待用户明确确认后才能提交。用户拒绝则告知"如需反馈可随时告诉我",流程结束。
Step 4:提交反馈
用户确认后执行:
alipay-bot problem-feedback --reason '<问题描述>'
参数约束:
--reason 值需用 单引号 '...' 包裹(请勿使用双引号)',需替换为 '\''Step 5:输出结果
原样输出 CLI 返回的内容,禁止编造、修改、删减或改写。