上周三下午，同事老张在测试环境里点了一下“确认支付”，查输页面直接弹出一行红字：“请检查输入的支付支付域名是否合法”。他愣了两秒，域名然后骂了一句——因为那个域名是否合法他自己配的，写成了pay.test.com.cn，请检而公司内网只认pay.test.com。查输多了一个.cn，支付整个支付流程就卡死在那儿了。域名

这种事不罕见。否合法很多人以为支付域名就是请检个网址，填进去能跳转就行。查输实际上，支付支付系统对域名的域名校验比想象中严格得多。它不只看域名能不能解析，否合法还要看协议头是不是https，端口是不是默认的443，路径里有没有多余的重定向，甚至域名的备案主体跟商户资质是否一致。一个字母不对，直接拒绝。

为什么这么较真？因为支付域名是资金流向的入口。如果有人把pay.alipay.com改成pay.alipay.com.evil.cn，用户不仔细看根本发现不了。钱付出去，进了别人的口袋。支付网关的第一道防线就是域名白名单——只允许预先登记过的、经过验证的域名发起交易请求。你临时改一个字符，系统立刻判定为“非法域名”，连后续的签名验证都不做。

我见过一个更隐蔽的案例。某电商平台的技术人员把支付域名从https://pay.example.com改成了https://pay.example.com:8443。他觉得端口号而已，不影响。结果支付接口返回的报错就是那句“请检查输入的支付域名是否合法”。因为支付网关的校验规则里，非标准端口会被视为潜在风险——你可能在走一个代理，或者一个内部测试服务，资金安全无法保障。

那怎么判断自己填的域名是否合法？别去猜。直接看支付服务商给的文档，里面会明确列出允许的域名格式。通常包括：必须使用HTTPS，不能带端口号（除非服务商特别说明），不能是IP地址，不能包含下划线，顶级域名必须是常见的.com、.cn、.net等。另外，域名必须已经完成ICP备案，且备案主体与商户号主体一致。个人备案的域名拿来做企业支付，大概率会被拦。

还有一个坑：有些开发者喜欢用短域名或者CDN域名做支付入口。比如把pay.xxx.com解析到某个CDN节点上。支付网关检测到CNAME记录指向了非支付服务商指定的IP段，也会报“域名不合法”。这不是刁难，是防止DNS劫持。你想想，如果攻击者控制了CDN节点，就能把支付请求转发到钓鱼页面。

实际排查时，我习惯按这个顺序走一遍：先复制完整支付链接，去掉路径和参数，只留https://加域名。然后打开终端，dig一下看解析结果。再curl -I看返回头里有没有Location跳转。最后对比支付服务商后台登记的域名，一个字符一个字符对。别笑，我见过有人把0写成O，把l写成1，肉眼根本分不出来。

如果你是在本地开发环境测试，记得把localhost或者127.0.0.1加到支付服务商的沙箱白名单里。否则你永远过不了域名校验。有些支付平台提供“测试域名”专用通道，比如sandbox.pay.com，但正式环境绝对不能用。

说到底，这句报错不是bug，是保护机制。它拦住的每一次“不合法”，背后都可能是一次真实的风险。下次再看到它，别急着骂，先检查你的域名——从协议到端口，从备案到解析，一个都别漏。