Tạo đơn hàng

App server gửi thông tin đơn hàng tới ZaloPay server để tạo đơn hàng.

Luồng xử lý

Sequence Flow

Đặc tả API

Environment	Method	Endpoint
Sandbox	POST	https://sb-openapi.zalopay.vn/v2/create
Real	POST	https://openapi.zalopay.vn/v2/create

Content-Type:

application/x-www-form-urlencoded

application/json

application/xml

Thông tin đơn hàng

Đơn hàng gồm có các thông tin sau:

Tham số	Kiểu dữ liệu	Kích thước	Bắt buộc	Ý nghĩa	Ví dụ
`app_id`	Int		✔	Định danh cho ứng dụng đã được cấp khi đăng ký ứng dụng với ZaloPay.	`1`
`app_user`	String	50	✔	Thông tin định danh của người dùng ứng dụng thanh toán đơn hàng: id/username/tên/số điện thoại/email của user. Nếu không định danh được có thể dùng thông tin mặc định, chằng hạn như tên ứng dụng	`user123`
`app_trans_id`	String	40	✔	Mã giao dịch của đơn hàng. Mã giao dịch phải bắt đầu theo format yymmdd của ngày hiện tại và nên theo format yymmddMã đơn hàng thanh toán Lưu ý: yymmdd phải đúng TimeZone Vietnam (GMT+7) (Vì các giao dịch đối soát theo ngày giờ Việt Nam)	`180208_007242`
`app_time`	Long		✔	Thời gian tạo đơn hàng (unix timestamp in milisecond). Thời gian tính đến milisecond, lấy theo current time và không quá 15 phút so với thời điểm thanh toán	`1459823610957`
`expire_duration_seconds`	Long			Thời gian hết hạn của đơn hàng. Thời gian tính bằng giây (giá trị nhỏ nhất: 300, giá trị lớn nhất: 2592000)	`900`
`amount`	Long		✔	Giá trị của đơn hàng VND	`50000`
`item`	JSON Array String	2048	✔	Item của đơn hàng, do ứng dụng tự định nghĩa	`[{"itemid":"knb","itename":"kim nguyen bao","itemprice":198400,"itemquantity":1}]`
`description`	String	256	✔	Thông tin mô tả về dịch vụ đang được thanh toán dùng để hiển thị cho user trên app ZaloPay và trên tool quản lý Merchant	`<Tên Merchant/Dịch vụ> - Thanh toán đơn hàng #<Mã đơn hàng>` Ví dụ: `Lazada - Thanh toán đơn hàng #180208_007242`
`embed_data`	JSON String	1024	✔	Dữ liệu riêng của đơn hàng. Dữ liệu này sẽ được callback lại cho AppServer khi thanh toán thành công (Nếu không có thì để chuỗi rỗng)	`{"promotioninfo":"","merchantinfo":"du lieu rieng cua ung dung"}`
`bank_code`	String	20	✔ (*)	Mã ngân hàng, xem cách lấy danh sách các ngân hàng được hỗ trợ	`VTB`
`mac`	String		✔	Thông tin chứng thực của đơn hàng, xem cách tạo thông tin chứng thực cho đơn hàng	`c8f49d523336f0a182586a70b71c20da96 4d37954711de9273152b500df74c0d`
`callback_url`	String			ZaloPay sẽ thông báo trạng thái thanh toán của đơn hàng khi thanh toán hoàn tất. Nếu không được cung cấp, callback_url mặc định của ứng dụng sẽ được sử dụng.
`device_info`	JSON String	256		Chuỗi JSON mô tả thông tin của thiết bị
`sub_app_id`	String	50		Định danh dịch vụ / nhóm dịch vụ đối tác đăng ký với ZaloPay (chỉ áp dụng với một số đối tác đặc biệt)	`sub123`
`title`	String	256		Tiêu đề đơn hàng.
`currency`	String			Đơn vị tiền tệ. Mặc định là VND
`phone`	String	50		Số điện thoại của người dùng	`0934568239`
`email`	String	100		Email của người dùng	`example@gmail.com`
`address`	String	1024		Địa chỉ của người dùng	`TPHCM`

Một số trường đặc biệt của embed_data

Tên	Kiểu dữ liệu	Định dạng	Mô tả	Ví dụ
`preferred_payment_method`	Array String	`["domestic_card", "vietqr", "..."]` Xem chi tiết cách khai báo tại đây	Dùng để hiển thị phương thức thanh toán tùy chọn trên cổng ZaloPay.	`{"preferred_payment_method":["vietqr"]}`
`redirecturl`	String	URL	Redirect về url này sau khi thanh toán trên cổng ZaloPay (override redirect url lúc đăng ký app với ZaloPay)	`{"redirecturl": "https://docs.zalopay.vn/result"}`
`columninfo`	JSON String	`{"column_name": "value"}`	Thêm thông tin hiển thị ở phần Quản lý giao dịch chi tiết trên Merchant site, nếu cột chưa tồn tại cần vào phần Cài đặt hiển thị dữ liệu để cấu hình *Lưu ý*: đối với thanh toán Offline cần thiết truyền các thông tin như branch_id, store_id, store_name, ...	`{"columninfo": "{\"branch_id\": \"HCM\",\"store_id\": \"CH123\",\"store_name\": \"Saigon Centre\",\"mc_campaign_id\": \"FREESHIP\"}"}`
`promotioninfo`	JSON String	`{"campaigncode":"code"}`	Dùng để triển khai chương trình khuyến mãi	`{"promotioninfo": "{\"campaigncode\":\"blackfriday\"}"}`
`zlppaymentid`	String		- Mã thông tin thanh toán. - Chỉ truyền khi đối tác cần nhận tiền đối soát về nhiều tài khoản khác nhau. - Hệ thống ZaloPay sẽ tạo ra một mã Thanh toán (tương ứng với mỗi Tài khoản ngân hàng đối tác cung cấp) và gởi lại cho đối tác thiết lập.	`{"zlppaymentid": "P4201372"}`

Tạo thông tin chứng thực

mac = HMAC(hmac_algorihtm, key1, hmac_input)

Trong đó:

hmac_algorithm: Là phương thức bảo mật do ứng dụng đăng ký với ZaloPay, mặc định là HmacSHA256
key1: Là Mac Key do ZaloPay cung cấp cho ứng dụng lúc đăng ký ứng dụng
hmac_input: app_id +”|”+ app_trans_id +”|”+ app_user +”|”+ amount +"|"+ app_time +”|”+ embed_data +"|"+ item

Ví dụ:

Content-Type: application/json


{
    "app_id": 2553,
    "app_user": "ZaloPayDemo",
    "app_time": 1660717311101,
    "amount": 10000,
    "app_trans_id": "220817_1660717311101",
    "bank_code": "zalopayapp",
    "embed_data": "{}",
    "item": "[]",
    "callback_url": "<https://domain.com/callback>",
    "description": "ZaloPayDemo - Thanh toán cho đơn hàng #220817_1660717311101",
    "mac": "cf0ff27956f4d6203ce4a2c55691d81b65de2d640ee65e95ae5627ce801cd962"
}

hmac_input: 2553|220817_1660717311101|ZaloPayDemo|10000|1660717311101|{}|[]
mac: cf0ff27956f4d6203ce4a2c55691d81b65de2d640ee65e95ae5627ce801cd962

Content-Type: application/x-www-form-urlencoded


app_id=2553&app_trans_id=220817_1660717311101&app_user=ZaloPayDemo&app_time=1660717311101&description=ZaloPayDemo - Thanh toán cho đơn hàng #220817_1660717311101&embed_data={}&item=[]&amount=10000&&mac=cf0ff27956f4d6203ce4a2c55691d81b65de2d640ee65e95ae5627ce801cd962

hmac_input: 2553|220817_1660717311101|ZaloPayDemo|10000|1660717311101|{}|[]
mac: cf0ff27956f4d6203ce4a2c55691d81b65de2d640ee65e95ae5627ce801cd962

Content-Type: application/xml

<?xml version="1.0" encoding="UTF-8"?>
<OAOrder>
    <app_id>2553</app_id>
    <app_user>ZaloPayDemo</app_user>
    <app_trans_id>220817_1660717311101/app_trans_id>
    <app_time>1660717311101</app_time>
    <amount>10000</amount>
    <order_type>GOODS</order_type>
    <title>string</title>
    <description>ZaloPayDemo - Thanh toán cho đơn hàng #220817_1660717311101</description>
    <redirect_url>string</redirect_url>
    <device_info>string</device_info>
    <item>[]</item>
    <embed_data>{}</embed_data>
    <mac>cf0ff27956f4d6203ce4a2c55691d81b65de2d640ee65e95ae5627ce801cd962</mac>
    <currency>VND</currency>
    <bank_code>zalopayapp</bank_code>
    <phone>string</phone>
    <email>string</email>
    <address>string</address>
</OAOrder>

hmac_input: 2553|220817_1660717311101|ZaloPayDemo|10000|1660717311101|{}|[]
mac: cf0ff27956f4d6203ce4a2c55691d81b65de2d640ee65e95ae5627ce801cd962

Tham số api trả về

Tham số	Kiểu dữ liệu	Ý nghĩa
`return_code`	Int	`1`: Thành công `2`: Thất bại
`return_message`	String	Mô tả mã trạng thái
`sub_return_code`	Int	Mã trạng thái chi tiết
`sub_return_message`	String	Mô tả chi tiết mã trạng thái
`order_url`	String	Dùng để tạo QR code hoặc gọi chuyển tiếp sang trang cổng ZaloPay
`zp_trans_token`	String	Thông tin token đơn hàng
`order_token`	String	Thông tin token đơn hàng
`qr_code`	String	Dùng để tạo NAPAS VietQR trên hệ thống Merchant. NAPAS VietQR là một trong những giải pháp thanh toán hoàn toàn mới, chấp nhận thanh toán được thực hiện bởi cả ZaloPay & +40 ngân hàng thuộc hệ thống NAPAS. Người dùng có thể sử dụng ứng dụng ngân hàng quét NAPAS VietQR để thanh toán

Ví dụ:

{
  "return_code": 1,
  "return_message": "Giao dịch thành công",
  "sub_return_code": 1,
  "sub_return_message": "Giao dịch thành công",
  "zp_trans_token": "ACSMARlbXkIzcSCNHDWC_5jA",
  "order_url": "https://qcgateway.zalopay.vn/openinapp?order=eyJ6cHRyYW5zdG9rZW4iOiJBQ1NNQVJsYlhrSXpjU0NOSERXQ181akEiLCJhcHBpZCI6MTI0NzA1fQ==",
  "order_token": "ACSMARlbXkIzcSCNHDWC_5jA",
  "qr_code": "00020101021226520010vn.zalopay0203001010627000503173307089089161731338580010A000000727012800069704540114998002401295460208QRIBFTTA5204739953037045405690005802VN62210817330708908916173136304409F"
}

Code mẫu

/**
 * .Net core 2.1.505
 */
using System;
using System.Text;
using System.Threading.Tasks;
using System.Collections.Generic;
using ZaloPay.Helper; // HmacHelper, RSAHelper, HttpHelper, Utils (tải về ở mục DOWNLOADS)
using ZaloPay.Helper.Crypto;
using Newtonsoft.Json; // https://www.newtonsoft.com/json

namespace ZaloPayExample
{
    class Program
    {
        static string app_id = "2553";
        static string key1 = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL";
        static string create_order_url = "https://sb-openapi.zalopay.vn/v2/create";

        static async Task Main(string[] args) {

            Random rnd = new Random();
            var embed_data = new { };
            var items = new[]{new{}};
            var param = new Dictionary<string, string>();
            var app_trans_id   = rnd.Next(1000000); // Generate a random order's ID.
            var param = new Dictionary<string, string>();    

            param.Add("app_id", app_id);
            param.Add("app_user", "user123");
            param.Add("app_time", Utils.GetTimeStamp().ToString());
            param.Add("amount", "50000");
            param.Add("app_trans_id", DateTime.Now.ToString("yyMMdd") + "_" + app_trans_id); // mã giao dich có định dạng yyMMdd_xxxx
            param.Add("embed_data", JsonConvert.SerializeObject(embed_data));
            param.Add("item", JsonConvert.SerializeObject(items));
            param.Add("description", "Lazada - Thanh toán đơn hàng #"+app_trans_id);
            param.Add("bank_code", "zalopayapp");

            var data = app_id + "|" + param["app_trans_id"] + "|" + param["app_user"] + "|" + param["amount"] + "|" 
                + param["app_time"] + "|" + param["embed_data"] + "|" + param["item"];
            param.Add("mac", HmacHelper.Compute(ZaloPayHMAC.HMACSHA256, key1, data));

            var result = await HttpHelper.PostFormAsync(create_order_url, param);

            foreach(var entry in result) {
                Console.WriteLine("{0} = {1}", entry.Key, entry.Value);
            }
        }
    }
}

// Java version "1.8.0_201"
import org.apache.http.NameValuePair; // https://mvnrepository.com/artifact/org.apache.httpcomponents/httpclient
import org.apache.http.client.entity.UrlEncodedFormEntity;
import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpPost;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.message.BasicNameValuePair;
import org.json.JSONObject; // https://mvnrepository.com/artifact/org.json/json
import vn.zalopay.crypto.HMACUtil; // tải về ở mục DOWNLOADS

import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.text.SimpleDateFormat;
import java.util.*;

public class CreateOrder {
    private static Map<String, String> config = new HashMap<String, String>(){{
        put("app_id", "2553");
        put("key1", "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL");
        put("key2", "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz");
        put("endpoint", "https://sb-openapi.zalopay.vn/v2/create");
    }};

    public static String getCurrentTimeString(String format) {
        Calendar cal = new GregorianCalendar(TimeZone.getTimeZone("GMT+7"));
        SimpleDateFormat fmt = new SimpleDateFormat(format);
        fmt.setCalendar(cal);
        return fmt.format(cal.getTimeInMillis());
    }

    public static void main( String[] args ) throws Exception
    {
        Random rand = new Random();
        int random_id = rand.nextInt(1000000);
        final Map embed_data = new HashMap(){{}};

        final Map[] item = {
            new HashMap(){{}}
        };

        Map<String, Object> order = new HashMap<String, Object>(){{
            put("app_id", config.get("app_id"));
            put("app_trans_id", getCurrentTimeString("yyMMdd") +"_"+ random_id; // translation missing: vi.docs.shared.sample_code.comments.app_trans_id
            put("app_time", System.currentTimeMillis()); // miliseconds
            put("app_user", "user123");
            put("amount", 50000);
            put("description", "Lazada - Payment for the order #"+random_id);
            put("bank_code", "zalopayapp");
            put("item", new JSONObject(item).toString());
            put("embed_data", new JSONObject(embed_data).toString());
        }};

        // app_id +”|”+ app_trans_id +”|”+ appuser +”|”+ amount +"|" + app_time +”|”+ embed_data +"|" +item
        String data = order.get("app_id") +"|"+ order.get("app_trans_id") +"|"+ order.get("app_user") +"|"+ order.get("amount")
                +"|"+ order.get("app_time") +"|"+ order.get("embed_data") +"|"+ order.get("item");
        order.put("mac", HMACUtil.HMacHexStringEncode(HMACUtil.HMACSHA256, config.get("key1"), data));

        CloseableHttpClient client = HttpClients.createDefault();
        HttpPost post = new HttpPost(config.get("endpoint"));

        List<NameValuePair> params = new ArrayList<>();
        for (Map.Entry<String, Object> e : order.entrySet()) {
            params.add(new BasicNameValuePair(e.getKey(), e.getValue().toString()));
        }

        // Content-Type: application/x-www-form-urlencoded
        post.setEntity(new UrlEncodedFormEntity(params));

        CloseableHttpResponse res = client.execute(post);
        BufferedReader rd = new BufferedReader(new InputStreamReader(res.getEntity().getContent()));
        StringBuilder resultJsonStr = new StringBuilder();
        String line;

        while ((line = rd.readLine()) != null) {
            resultJsonStr.append(line);
        }

        JSONObject result = new JSONObject(resultJsonStr.toString());
        for (String key : result.keySet()) {
            System.out.format("%s = %s\n", key, result.get(key));
        }
    }
}

// go version go1.11.1 linux/amd64
package main

import (
    "encoding/json"
    "fmt"
    "io/ioutil"
    "log"
    "net/http"
    "net/url"
    "strconv"
    "time"
    "math/rand"

    "github.com/zpmep/hmacutil" // go get github.com/zpmep/hmacutil
)

type object map[string]interface{}

var (
    app_id = "2553"
    key1  = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL"
    key2  = "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz"
)

func main() {
    rand.Seed(time.Now().UnixNano())
    transID := rand.Intn(1000000) // Generate random trans id
    embedData, _ := json.Marshal(object{})
    items, _ := json.Marshal([]object{})
    // request data
    params := make(url.Values)
    params.Add("app_id", app_id)                            
    params.Add("amount", "1000")                          
    params.Add("app_user", "user123")                         
    params.Add("embed_data", string(embedData))            
    params.Add("item", string(items))                     
    params.Add("description", "Lazada - Payment for the order #"+strconv.Itoa(transID))
    params.Add("bank_code", "zalopayapp")                  

    now := time.Now()
    params.Add("app_time", strconv.FormatInt(now.UnixNano()/int64(time.Millisecond), 10)) // miliseconds

    params.Add("app_trans_id", fmt.Sprintf("%02d%02d%02d_%v", now.Year()%100, int(now.Month()), now.Day(), transID)) // translation missing: vi.docs.shared.sample_code.comments.app_trans_id

    // appid|app_trans_id|appuser|amount|apptime|embeddata|item
    data := fmt.Sprintf("%v|%v|%v|%v|%v|%v|%v", params.Get("app_id"), params.Get("app_trans_id"), params.Get("app_user"),
        params.Get("amount"), params.Get("app_time"), params.Get("embed_data"), params.Get("item"))
    params.Add("mac", hmacutil.HexStringEncode(hmacutil.SHA256, key1, data))

    // Content-Type: application/x-www-form-urlencoded
    res, err := http.PostForm("https://sb-openapi.zalopay.vn/v2/create", params)

    // parse response
    if err != nil {
        log.Fatal(err)
    }
    defer res.Body.Close()

    body, _ := ioutil.ReadAll(res.Body)

    var result map[string]interface{}

    if err := json.Unmarshal(body, &result); err != nil {
        log.Fatal(err)
    }

    for k, v := range result {
        log.Printf("%s = %+v", k, v)
    }
}

// Node v10.15.3
const axios = require('axios').default; // npm install axios
const CryptoJS = require('crypto-js'); // npm install crypto-js
const moment = require('moment'); // npm install moment

// APP INFO
const config = {
    app_id: "2553",
    key1: "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
    key2: "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
    endpoint: "https://sb-openapi.zalopay.vn/v2/create"
};

const embed_data = {};

const items = [{}];
const transID = Math.floor(Math.random() * 1000000);
const order = {
    app_id: config.app_id,
    app_trans_id: `${moment().format('YYMMDD')}_${transID}`, // translation missing: vi.docs.shared.sample_code.comments.app_trans_id
    app_user: "user123",
    app_time: Date.now(), // miliseconds
    item: JSON.stringify(items),
    embed_data: JSON.stringify(embed_data),
    amount: 50000,
    description: `Lazada - Payment for the order #${transID}`,
    bank_code: "zalopayapp",
};

// appid|app_trans_id|appuser|amount|apptime|embeddata|item
const data = config.app_id + "|" + order.app_trans_id + "|" + order.app_user + "|" + order.amount + "|" + order.app_time + "|" + order.embed_data + "|" + order.item;
order.mac = CryptoJS.HmacSHA256(data, config.key1).toString();

axios.post(config.endpoint, null, { params: order })
    .then(res => {
        console.log(res.data);
    })
    .catch(err => console.log(err));

<?php
// PHP Version 7.3.3

$config = [
    "app_id" => 2553,
    "key1" => "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
    "key2" => "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
    "endpoint" => "https://sb-openapi.zalopay.vn/v2/create"
];

$embeddata = '{}'; // Merchant's data
$items = '[]'; // Merchant's data
$transID = rand(0,1000000); //Random trans id
$order = [
    "app_id" => $config["app_id"],
    "app_time" => round(microtime(true) * 1000), // miliseconds
    "app_trans_id" => date("ymd") . "_" . $transID, // translation missing: vi.docs.shared.sample_code.comments.app_trans_id
    "app_user" => "user123",
    "item" => $items,
    "embed_data" => $embeddata,
    "amount" => 50000,
    "description" => "Lazada - Payment for the order #$transID",
    "bank_code" => "zalopayapp"
];

// appid|app_trans_id|appuser|amount|apptime|embeddata|item
$data = $order["app_id"] . "|" . $order["app_trans_id"] . "|" . $order["app_user"] . "|" . $order["amount"]
    . "|" . $order["app_time"] . "|" . $order["embed_data"] . "|" . $order["item"];
$order["mac"] = hash_hmac("sha256", $data, $config["key1"]);

$context = stream_context_create([
    "http" => [
        "header" => "Content-type: application/x-www-form-urlencoded\r\n",
        "method" => "POST",
        "content" => http_build_query($order)
    ]
]);

$resp = file_get_contents($config["endpoint"], false, $context);
$result = json_decode($resp, true);

foreach ($result as $key => $value) {
    echo "$key: $value<br>";
}

# ruby 2.5.1p57

require 'json'
require 'openssl' # gem install openssl
require 'net/http'

config = {
  app_id: '2553',
  key1: 'PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL',
  key2: 'kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz',
  endpoint: 'https://sb-openapi.zalopay.vn/v2/create'
}

trans_id = rand(1000000).to_s #Random trans id
apptime = (Time.now.to_f.round(3) * 1000).to_i # miliseconds
app_trans_id = Time.now.strftime('%y%m%d') + '_' + trans_id

embeddata = {}
items = [{}]

order = {
  app_id: config[:app_id],
  app_trans_id: app_trans_id, # translation missing: vi.docs.shared.sample_code.comments.app_trans_id
  app_user: 'user123',
  app_time: apptime, # miliseconds 
  item: items.to_json, 
  embed_data: embeddata.to_json, 
  amount: 50_000, 
  description: "Lazada - Payment for the order ##{trans_id}", 
  bank_code: 'zalopayapp'
}

# appid|app_trans_id|appuser|amount|app_time|embed_data|item
data = config[:app_id] + '|' + app_trans_id + '|' + order[:app_user] + '|' + order[:amount].to_s + '|' +
       order[:app_time].to_s + '|' + order[:embed_data].to_s + '|' + order[:item].to_s

order[:mac] = OpenSSL::HMAC.hexdigest('sha256', config[:key1], data)

res = Net::HTTP.post_form(URI.parse(config[:endpoint]), order)
result = JSON.parse(res.body)

result.each do |key, value|
  puts "#{key}: #{value}"
end

# coding=utf-8
# Python 3.6

from time import time
from datetime import datetime
import json, hmac, hashlib, urllib.request, urllib.parse, random

config = {
  "app_id": 2553,
  "key1": "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2": "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "endpoint": "https://sb-openapi.zalopay.vn/v2/create"
}
transID = random.randrange(1000000)
print(random.randrange(1000000))
order = {
  "app_id": config["app_id"],
  "app_trans_id": "{:%y%m%d}_{}".format(datetime.today(), transID), # mã giao dich có định dạng yyMMdd_xxxx
  "app_user": "user123",
  "app_time": int(round(time() * 1000)), # miliseconds
  "embed_data": json.dumps({}),
  "item": json.dumps([{}]),
  "amount": 50000,
  "description": "Lazada - Payment for the order #"+str(transID),
  "bank_code": "zalopayapp"
}

# app_id|app_trans_id|app_user|amount|apptime|embed_data|item
data = "{}|{}|{}|{}|{}|{}|{}".format(order["app_id"], order["app_trans_id"], order["app_user"], 
order["amount"], order["app_time"], order["embed_data"], order["item"])

order["mac"] = hmac.new(config['key1'].encode(), data.encode(), hashlib.sha256).hexdigest()

response = urllib.request.urlopen(url=config["endpoint"], data=urllib.parse.urlencode(order).encode())
result = json.loads(response.read())

for k, v in result.items():
  print("{}: {}".format(k, v))

curl -X POST https://sb-openapi.zalopay.vn/v2/create \
  -H "Content-type: application/x-www-form-urlencoded" \
  -d app_id=2553 \
  -d app_trans_id=200904_432565 \
  -d app_user='user123' \
  -d app_time=1599209942052 \
  -d item='[{}]' \
  -d embed_data='{}' \
  -d amount=50000 \
  -d description='Lazada - Payment for the order #432565' \
  -d bank_code=zalopayapp \
  -d mac=a921656413d6ef62d8d7fdab012f69be45335ebb158aeb483897b1b60acc80c2

Chú ý:
Thông tin đơn hàng trùng lắp

Khi merchant sử dụng API tạo đơn hàng để gửi thông tin một đơn hàng qua hệ thống ZaloPay, giá trị tham số app_trans_id phải là unique. Nếu giá trị app_trans_id bị trùng lắp, ZaloPay sẽ trả về sub_return_code=-68.

{
    "return_code": 2,
    "return_message": "Giao dịch thất bại",
    "sub_return_code": -68,
    "sub_return_message": "Mã giao dịch bị trùng",
    "zp_trans_token": "",
    "order_url": "",
    "order_token": ""
}

Callback

API đối tác xây dựng sẽ nhận kết quả thanh toán từ ZaloPay. Khi và chỉ khi ZaloPay đã thu tiền khách hàng thành công thì mới gọi API này để thông báo kết quả.

Luồng xử lý

Callback Flow

Đặc tả API

Nếu trừ tiền user thành công ZaloPay Server callback cho Merchant Server theo CallbackURL đã cấu hình hoặc từ param callback_url. Merchant dùng key2 (được cấp lúc đăng ký ứng dụng) để xác thực data do ZaloPay Server POST qua.

Method: POST
Content-Type: application/json

Dữ liệu nhận được từ callback:

Tên Kiểu dữ liệu Mô tả

data Json String Dữ liệu giao dịch ZaloPay gọi về cho ứng dụng

mac String Thông tin chứng thực của đơn hàng, dùng Callback Key (Key2) được cung cấp để chứng thực đơn hàng

Tên	Kiểu dữ liệu	Mô tả
`data`	Json String	Dữ liệu giao dịch ZaloPay gọi về cho ứng dụng
`mac`	String	Thông tin chứng thực của đơn hàng, dùng Callback Key (Key2) được cung cấp để chứng thực đơn hàng
`type`	Int	Loại callback `1`: Order `2`: Agreement

type

Int

Loại callback

1: Order

2: Agreement

Dữ liệu của trường data:

Tên	Kiểu dữ liệu	Mô tả	Ví dụ
`app_id`	Int	`app_id` của đơn hàng	`5`
`app_trans_id`	String	`app_trans_id` của đơn hàng	`180208181007242`
`app_time`	Long	`app_time` của đơn hàng	`1460543835849`
`app_user`	String	`app_user` của đơn hàng	`pmqc`
`amount`	Long	Số tiền ứng dụng nhận được	`50000`
`embed_data`	JSON String	`embed_data` của đơn hàng. • Dữ liệu bắt buộc phải là `json string`	`{"promotioninfo":"","merchantinfo":"du lieu rieng cua ung dung"}` Data empty: `{}`
`item`	JSON Array String	`item` của đơn hàng. • Dữ liệu bắt buộc phải là `json array string`	`[{"itemid":"knb","itename":"kim nguyen bao","itemprice":198400,"itemquantity":1}]` Data empty: `[]`
`zp_trans_id`	Long	Mã giao dịch của ZaloPay	`160413000003083`
`server_time`	Long	Thời gian giao dịch của ZaloPay (unix timestamp in miliseconds)	`1460543836370`
`channel`	Int	Kênh thanh toán	`38`
`merchant_user_id`	String	ZaloPay user đã thanh toán cho đơn hàng	`7ZMSl3nEg5sOUJzOLSoUFT8xKNQVaLOLXHB--8Eytqc`
`user_fee_amount`	Long	Số tiền phí	`220`
`discount_amount`	Long	Số tiền giảm giá	`10000`

Ví dụ:

{"data":"{\"app_id\":2553,\"app_trans_id\":\"200904_2553_1598435687208\",\"app_time\":1599189392817,\"app_user\":\"demo\",\"amount\":10000,\"embed_data\":\"{\\\"merchantinfo\\\":\\\"embeddata123\\\",\\\"promotioninfo\\\":\\\"\\\"}\",\"item\":\"[{\\\"itemid\\\":\\\"knb\\\",\\\"itemname\\\":\\\"kim nguyen bao\\\",\\\"itemprice\\\":198400,\\\"itemquantity\\\":1}]\",\"zp_trans_id\":200904000000389,\"server_time\":1599189413498,\"channel\":38,\"merchant_user_id\":\"7ZMSl3nEg5sOUJzOLSoUFT8xKNQVaLOLXHB--8Eytqc\",\"user_fee_amount\":0,\"discount_amount\":0}","mac":"d8d33baf449b31d7f9b94fa50d7c942c08cd4d83f28fa185557da21acb104f67","type":1}

Kiểm tra callback hợp lệ

reqmac = HMAC(hmac_algorithm, key2, callback_data.data)
if (reqmac == callback_data.mac) {
  // callback hợp lệ
} else {
  // callback không hợp lệ
}

Trong đó:

hmac_algorithm: Là phương thức bảo mật do ứng dụng đăng ký với ZaloPay, mặc định là HmacSHA256
key2: Là Mac Key do ZaloPay cung cấp cho ứng dụng lúc đăng ký ứng dụng
callback_data: Là dữ liệu do ZaloPay request tới callback API của Merchant khi ZaloPay đã thu tiền khách hàng thành công.

Các kênh thanh toán hỗ trợ:

Giá trị	Kênh thanh toán
`36`	Visa/Master/JCB
`37`	Bank Account
`38`	ZaloPay Wallet
`39`	ATM
`41`	Visa/Master Debit

Thông tin AppServer trả về cho ZaloPayServer khi nhận callback

Content-Type: application/json

Tham số Kiểu dữ liệu Ý nghĩa

Tham số	Kiểu dữ liệu	Ý nghĩa
`return_code`	Int	`1`: thành công `2`: trùng mã giao dịch ZaloPay zptransid hoặc app_trans_id ( đã cung cấp dịch vụ cho user trước đó) `<>`: thất bại (không callback lại)
`return_message`	String	Mô tả chi tiết mã trạng thái

return_code

Int

1: thành công

2: trùng mã giao dịch ZaloPay zptransid hoặc app_trans_id ( đã cung cấp dịch vụ cho user trước đó)

<>: thất bại (không callback lại)

return_message String Mô tả chi tiết mã trạng thái

Ví dụ:

{
  "return_code": "[return_code]",
  "return_message": "[return_message]"
}

Code mẫu

/**
 * .Net core 2.1.505
 */
using System;
using System.Text;
using System.Collections.Generic;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Mvc;
using ZaloPay.Helper; // HmacHelper, RSAHelper, HttpHelper, Utils (tải về ở mục DOWNLOADS)
using ZaloPay.Helper.Crypto;
using Newtonsoft.Json; // https://www.newtonsoft.com/json

namespace ZaloPayExample.Controllers
{
    [Route("[controller]")]
    [ApiController]
    public class CallbackController: ControllerBase
    {
        private string key2 = "eG4r0GcoNtRGbO8";

        [HttpPost]
        public IActionResult Post([FromBody] dynamic cbdata)
        {
            var result = new Dictionary<string, object>();

            try {
              var dataStr = Convert.ToString(cbdata["data"]);
              var reqMac = Convert.ToString(cbdata["mac"]);

              var mac = HmacHelper.Compute(ZaloPayHMAC.HMACSHA256, key2, dataStr);

              Console.WriteLine("mac = {0}", mac);

              // kiểm tra callback hợp lệ (đến từ ZaloPay server)
              if (!reqMac.Equals(mac)) {
                  // callback không hợp lệ
                  result["return_code"] = -1;
                  result["return_message"] = "mac not equal";
              }
              else {
                  // thanh toán thành công
                  // merchant cập nhật trạng thái cho đơn hàng
                  var dataJson = JsonConvert.DeserializeObject<Dictionary<string, object>>(dataStr);
                  Console.WriteLine("update order's status = success where app_trans_id = {0}", dataJson["app_trans_id"]);

                  result["return_code"] = 1;
                  result["return_message"] = "success";
              }
            } catch (Exception ex) {
              result["return_code"] = 0; // ZaloPay server sẽ callback lại (tối đa 3 lần)
              result["return_message"] = ex.Message;
            }

            // thông báo kết quả cho ZaloPay server
            return Ok(result); 
        }
    }
}

/**
 * Spring Boot v2.1.4.RELEASE
 * */
import org.json.JSONObject; // https://mvnrepository.com/artifact/org.json/json
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RestController;

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import javax.xml.bind.DatatypeConverter;
import java.util.logging.Logger;

@RestController
public class CallbackController {

    private Logger logger = Logger.getLogger(this.getClass().getName());
    private String key2 = "eG4r0GcoNtRGbO8";
    private Mac HmacSHA256;

    public CallbackController() throws Exception  {
        HmacSHA256 = Mac.getInstance("HmacSHA256");
        HmacSHA256.init(new SecretKeySpec(key2.getBytes(), "HmacSHA256"));
    }

    @PostMapping("/callback")
    public String callback(@RequestBody String jsonStr) {
        JSONObject result = new JSONObject();

        try {
          JSONObject cbdata = new JSONObject(jsonStr);
          String dataStr = cbdata.getString("data");
          String reqMac = cbdata.getString("mac");

          byte[] hashBytes = HmacSHA256.doFinal(dataStr.getBytes());
          String mac = DatatypeConverter.printHexBinary(hashBytes).toLowerCase();

          // kiểm tra callback hợp lệ (đến từ ZaloPay server)
          if (!reqMac.equals(mac)) {
              // callback không hợp lệ
              result.put("return_code", -1);
              result.put("return_message", "mac not equal");
          } else {
              // thanh toán thành công
              // merchant cập nhật trạng thái cho đơn hàng
              JSONObject data = new JSONObject(dataStr);
              logger.info("update order's status = success where app_trans_id = " + data.getString("app_trans_id"));

              result.put("return_code", 1);
              result.put("return_message", "success");
          }
        } catch (Exception ex) {
          result.put("return_code", 0); // ZaloPay server sẽ callback lại (tối đa 3 lần)
          result.put("return_message", ex.getMessage());
        }

        // thông báo kết quả cho ZaloPay server
        return result.toString();
    }
}

// go version go1.11.1 linux/amd64
package main

import (
    "encoding/json"
    "fmt"
    "log"
    "net/http"

    "github.com/zpmep/hmacutil" // go get github.com/zpmep/hmacutil
)

// App config
var (
    key2 = "eG4r0GcoNtRGbO8"
)

func main() {
    mux := http.DefaultServeMux
    mux.HandleFunc("/callback", func(w http.ResponseWriter, r *http.Request) {
        defer r.Body.Close()
        var cbdata map[string]interface{}
        decoder := json.NewDecoder(r.Body)
        decoder.Decode(&cbdata)

        requestMac := cbdata["mac"].(string)
        dataStr := cbdata["data"].(string)
        mac := hmacutil.HexStringEncode(hmacutil.SHA256, key2, dataStr)
        log.Println("mac =", mac)

        result := make(map[string]interface{})

    // kiểm tra callback hợp lệ (đến từ ZaloPay server)
        if mac != requestMac {
            // callback không hợp lệ
            result["return_code"] = -1
            result["return_message"] = "mac not equal"
        } else {
            // thanh toán thành công
            result["return_code"] = 1
            result["return_message"] = "success"

            // merchant cập nhật trạng thái cho đơn hàng
            var dataJSON map[string]interface{}
            json.Unmarshal([]byte(dataStr), &dataJSON)
            log.Println("update order's status = success where app_trans_id =", dataJSON["app_trans_id"])
        }

        // thông báo kết quả cho ZaloPay server
        resultJSON, _ := json.Marshal(result)
        fmt.Fprintf(w, "%s", resultJSON)
    })

    log.Println("Server is listening at port :8888")
    http.ListenAndServe(":8888", mux)
}

// Node v10.15.3
const CryptoJS = require('crypto-js'); // npm install crypto-js
const express = require('express'); // npm install express
const bodyParser = require('body-parser'); // npm install body-parser
const app = express();

const config = {
  key2: "eG4r0GcoNtRGbO8"
};

app.use(bodyParser.json());

app.post('/callback', (req, res) => {
  let result = {};

  try {
    let dataStr = req.body.data;
    let reqMac = req.body.mac;

    let mac = CryptoJS.HmacSHA256(dataStr, config.key2).toString();
    console.log("mac =", mac);


    // kiểm tra callback hợp lệ (đến từ ZaloPay server)
    if (reqMac !== mac) {
      // callback không hợp lệ
      result.return_code = -1;
      result.return_message = "mac not equal";
    }
    else {
      // thanh toán thành công
      // merchant cập nhật trạng thái cho đơn hàng
      let dataJson = JSON.parse(dataStr, config.key2);
      console.log("update order's status = success where app_trans_id =", dataJson["app_trans_id"]);

      result.return_code = 1;
      result.return_message = "success";
    }
  } catch (ex) {
    result.return_code = 0; // ZaloPay server sẽ callback lại (tối đa 3 lần)
    result.return_message = ex.message;
  }

  // thông báo kết quả cho ZaloPay server
  res.json(result);
});

app.listen(8888, function (){
  console.log('Server is listening at port :8888');
});

<?php

// PHP Version 7.3.3

$result = [];

try {
  $key2 = "eG4r0GcoNtRGbO8";
  $postdata = file_get_contents('php://input');
  $postdatajson = json_decode($postdata, true);
  $mac = hash_hmac("sha256", $postdatajson["data"], $key2);

  $requestmac = $postdatajson["mac"];

  // kiểm tra callback hợp lệ (đến từ ZaloPay server)
  if (strcmp($mac, $requestmac) != 0) {
    // callback không hợp lệ
    $result["return_code"] = -1;
    $result["return_message"] = "mac not equal";
  } else {
    // thanh toán thành công
    // merchant cập nhật trạng thái cho đơn hàng
    $datajson = json_decode($postdatajson["data"], true);
    // echo "update order's status = success where app_trans_id = ". $dataJson["app_trans_id"];

    $result["return_code"] = 1;
    $result["return_message"] = "success";
  }
} catch (Exception $e) {
  $result["return_code"] = 0; // ZaloPay server sẽ callback lại (tối đa 3 lần)
  $result["return_message"] = $e->getMessage();
}

// thông báo kết quả cho ZaloPay server
echo json_encode($result);

# ruby 2.5.1p57
# rails 5.2.3

# config/routes.rb
Rails.application.routes.draw do
  match '/callback' => 'callback#handle', via: :post
end

# app/controllers/callback_controller.rb
require 'json'
require 'openssl' # gem install openssl

class CallbackController < ApplicationController 
  def initialize
    super
    @config = {
      key2: 'eG4r0GcoNtRGbO8'
    }
  end

  # POST /callback
  def handle
    result = {}

    begin
      cbdata = params
      mac = OpenSSL::HMAC.hexdigest('sha256', @config[:key2], cbdata['data'])

      # kiểm tra callback hợp lệ (đến từ ZaloPay server)
      if cbdata['mac'] != mac
        # callback không hợp lệ
        result[:return_code] = -1
        result[:return_message] = "mac not equal"
      else
        # thanh toán thành công
        # merchant cập nhật trạng thái cho đơn hàng
        dataJson = JSON.parse(cbdata['data'])
        puts "update order's status = success where app_trans_id = " + dataJson['app_trans_id']

        result[:return_code] = 1
        result[:return_message] = "success"
      end
    rescue Exception => ex
      result[:return_code] = 0 # ZaloPay server sẽ callback lại (tối đa 3 lần)
      result[:return_message] = ex.message
    end

    # thông báo kết quả cho ZaloPay server
    render json: result, status: :ok
  end
end

# coding=utf-8
# Python 3.6

from flask import Flask, request, json # pip3 install Flask 
import hmac, hashlib

app = Flask(__name__)
config = {
  'key2': 'eG4r0GcoNtRGbO8'
}

@app.route('/callback', methods=['POST'])
def callback():
  result = {}

  try
    cbdata = request.json
    mac = hmac.new(config['key2'].encode(), cbdata['data'].encode(), hashlib.sha256).hexdigest()

    # kiểm tra callback hợp lệ (đến từ ZaloPay server)
    if mac != cbdata['mac']:
      # callback không hợp lệ
      result['return_code'] = -1
      result['return_message'] = 'mac not equal'
    else:
      # thanh toán thành công
      # merchant cập nhật trạng thái cho đơn hàng
      dataJson = json.loads(cbdata['data'])
      print("update order's status = success where app_trans_id = " + dataJson['app_trans_id'])

      result['return_code'] = 1
      result['return_message'] = 'success'
  except Exception as e
    result['return_code'] = 0 # ZaloPay server sẽ callback lại (tối đa 3 lần)
    result[' e'] = str(e)

  # thông báo kết quả cho ZaloPay server
  return json.jsonify(result)

Truy vấn trạng thái thanh toán của đơn hàng

Khi user thanh toán thành công, ZaloPay sẽ gọi callback (notify) tới merchant để merchant cập nhật trạng thái đơn hàng Thành Công trên hệ thống. Trong thực tế callback có thể bị miss do lỗi Network timeout, Merchant Service Unavailable/Internal Error... nên Merchant cần hiện thực việc chủ động gọi API truy vấn trạng thái đơn hàng.

Merchant Server gửi request đến ZaloPay Server để lấy thông tin trạng thái thanh toán của giao dịch.

Luồng xử lý

Get status flow

Đặc tả API

Environment	Method	Endpoint
Sandbox	POST	https://sb-openapi.zalopay.vn/v2/query
Real	POST	https://openapi.zalopay.vn/v2/query

Content-Type:

application/x-www-form-urlencoded

application/json

application/xml

Dữ liệu truyền vào api

Tham số	Kiểu dữ liệu	Bắt buộc	Ý nghĩa
`app_id`	Int	✔	`app_id` của đơn hàng
`app_trans_id`	String	✔	`app_trans_id` của đơn hàng
`mac`	String	✔	• Thông tin chứng thực dữ liệu • `= HMAC(hmac_algorithm, key1, app_id+"\|"+app_trans_id+"\|"+key1)`

Tham số api trả về

Tham số	Kiểu dữ liệu	Ý nghĩa
`return_code`	Int	`1` : Thành công `2` : Thất bại `3` : Đơn hàng chưa thanh toán hoặc giao dịch đang xử lý
`return_message`	String	Thông tin trạng thái đơn hàng
`sub_return_code`	Int	Mã trạng thái chi tiết
`sub_return_message`	String	Thông tin chi tiết trạng thái đơn hàng
`is_processing`	Boolean	Trạng thái xử lý
`amount`	Long	Số tiền ứng dụng nhận được (chỉ có ý nghĩa khi thanh toán thành công)
`discount_amount`	Long	Số tiền giảm giá
`zp_trans_id`	Long	Mã giao dịch của ZaloPay

Code mẫu

/**
 * .Net core 2.1.505
 */
using System;
using System.Text;
using System.Collections.Generic;
using System.Threading.Tasks;
using ZaloPay.Helper; // HmacHelper, RSAHelper, HttpHelper, Utils (tải về ở mục DOWNLOADS)
using ZaloPay.Helper.Crypto;
using Newtonsoft.Json; // https://www.newtonsoft.com/json

namespace ZaloPayExample
{
    class Program
    {
        static string appid = "2553";
        static string key1 = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL";
        static string query_order_url = "https://sb-openapi.zalopay.vn/v2/query";

        static async Task Main(string[] args)
        {
            var app_trans_id = "<app_trans_id>";  // Input your app_trans_id

            var param = new Dictionary<string, string>();
            param.Add("app_id", appid);
            param.Add("app_trans_id", app_trans_id);
            var data = appid + "|" + app_trans_id + "|" + key1; 

            param.Add("mac", HmacHelper.Compute(ZaloPayHMAC.HMACSHA256, key1, data));

            var result = await HttpHelper.PostFormAsync(query_order_url, param);

            foreach(var entry in result) {
                Console.WriteLine("{0} = {1}", entry.Key, entry.Value);
            }
        }
    }
}

// Java version "1.8.0_201"

import org.apache.http.NameValuePair; // https://mvnrepository.com/artifact/org.apache.httpcomponents/httpclient
import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpGet;
import org.apache.http.client.utils.URIBuilder;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.message.BasicNameValuePair;
import org.json.JSONObject; // https://mvnrepository.com/artifact/org.json/json

import vn.zalopay.crypto.HMACUtil; // tải về ở mục DOWNLOADS

import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.util.ArrayList;
import java.util.HashMap;
import java.util.List;
import java.util.Map;
import java.util.logging.Logger;

public class GetOrderStatus {
    private static final Map<String, String> config = new HashMap<String, String>(){{
        put("app_id", "2553");
        put("key1", "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL");
        put("key2", "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz");
        put("endpoint", "https://sb-openapi.zalopay.vn/v2/query");
    }};

    public static void main(String[] args) throws Exception {
      String app_trans_id = "210608_2553_1623145380738";  // Input your app_trans_id
      String data = config.get("app_id") +"|"+ app_trans_id  +"|"+ config.get("key1"); // appid|app_trans_id|key1
      String mac = HMACUtil.HMacHexStringEncode(HMACUtil.HMACSHA256, config.get("key1"), data);

      List<NameValuePair> params = new ArrayList<>();
      params.add(new BasicNameValuePair("app_id", config.get("app_id")));
      params.add(new BasicNameValuePair("app_trans_id", app_trans_id));
      params.add(new BasicNameValuePair("mac", mac));

      URIBuilder uri = new URIBuilder(config.get("endpoint"));
      uri.addParameters(params);

      CloseableHttpClient client = HttpClients.createDefault();
      HttpPost post = new HttpPost(uri.build());
      post.setEntity(new UrlEncodedFormEntity(params));

      CloseableHttpResponse res = client.execute(post);
      BufferedReader rd = new BufferedReader(new InputStreamReader(res.getEntity().getContent()));
      StringBuilder resultJsonStr = new StringBuilder();
      String line;

      while ((line = rd.readLine()) != null) {
        resultJsonStr.append(line);
      }

      JSONObject result = new JSONObject(resultJsonStr.toString());
      for (String key : result.keySet()) {
        System.out.format("%s = %s\n", key, result.get(key));
      }
    }
}

// go version go1.11.1 linux/amd64
package main

import (
    "bytes"
    "encoding/json"
    "fmt"
    "io/ioutil"
    "log"
    "net/http"

    "github.com/zpmep/hmacutil" // go get github.com/zpmep/hmacutil
)

var (
    appID      = 2553
    key1       = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL"
    key2       = "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz"
    appTransID = "<app_trans_id>" // Input your app trans id
)

func main() {
    data := fmt.Sprintf("%v|%s|%s", appID, appTransID, key1) // appid|apptransid|key1
    params := map[string]interface{}{
        "app_id":       appID,
        "app_trans_id": appTransID,
        "mac":          hmacutil.HexStringEncode(hmacutil.SHA256, key1, data),
    }

    jsonStr, err := json.Marshal(params)
    if err != nil {
        log.Fatal(err)
    }

    res, err := http.Post("https://sb-openapi.zalopay.vn/v2/query", "application/json", bytes.NewBuffer(jsonStr))

    if err != nil {
        log.Fatal(err)
    }
    defer res.Body.Close()

    body, _ := ioutil.ReadAll(res.Body)

    var result map[string]interface{}

    if err := json.Unmarshal(body, &result); err != nil {
        log.Fatal(err)
    }

    for k, v := range result {
        log.Printf("%s = %+v", k, v)
    }
}

// Node v10.15.3
const axios = require('axios').default; // npm install axios
const CryptoJS = require('crypto-js'); // npm install crypto-js
const qs = require('qs')

const config = {
    app_id: "2553",
    key1: "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
    key2: "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
    endpoint: "https://sb-openapi.zalopay.vn/v2/query"
};

let postData = {
    app_id: config.app_id,
    app_trans_id: "<app_trans_id>", // Input your app_trans_id
}

let data = postData.app_id + "|" + postData.app_trans_id + "|" + config.key1; // appid|app_trans_id|key1
postData.mac = CryptoJS.HmacSHA256(data, config.key1).toString();


let postConfig = {
    method: 'post',
    url: config.endpoint,
    headers: {
        'Content-Type': 'application/x-www-form-urlencoded'
    },
    data: qs.stringify(postData)
};

axios(postConfig)
    .then(function (response) {
        console.log(JSON.stringify(response.data));
    })
    .catch(function (error) {
        console.log(error);
    });

<?php

// PHP Version 7.3.3

$config = [
  "app_id" => 2553,
  "key1" => "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2" => "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "endpoint" => "https://sb-openapi.zalopay.vn/v2/query"
];

$app_trans_id = "<app_trans_id>";  // Input your app_trans_id
$data = $config["app_id"]."|".$app_trans_id."|".$config["key1"]; // app_id|app_trans_id|key1
$params = [
  "app_id" => $config["app_id"],
  "app_trans_id" => $app_trans_id,
  "mac" => hash_hmac("sha256", $data, $config["key1"])
];

$context = stream_context_create([
    "http" => [
        "header" => "Content-type: application/x-www-form-urlencoded\r\n",
        "method" => "POST",
        "content" => http_build_query($params)
    ]
]);

$resp = file_get_contents($config["endpoint"], false, $context);
$result = json_decode($resp, true);

foreach ($result as $key => $value) {
  echo "$key: $value<br>";
}

# ruby 2.5.1p57

require 'json'
require 'openssl' # gem install openssl
require 'net/http'

config = {
  app_id: '2553',
  key1: 'PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL',
  key2: 'kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz',
  endpoint: 'https://sb-openapi.zalopay.vn/v2/query'
}

params = {
  app_id: config[:app_id],
  app_trans_id: "<app_trans_id>",  # Input your app_trans_id
}

data = config[:app_id] +"|"+ params[:app_trans_id] +"|"+ config[:key1] # app_id|app_trans_id|key1
params[:mac] = OpenSSL::HMAC.hexdigest('sha256', config[:key1], data)

res = Net::HTTP.post_form(URI.parse(config[:endpoint]), params)
result = JSON.parse(res.body)

result.each do |key, value|
  puts "#{key}: #{value}"
end

# coding=utf-8
# Python 3.6

from time import time
import hmac, hashlib, urllib.parse, urllib.request

config = {
  "app_id": 2553,
  "key1": "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2": "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "endpoint": "https://sb-openapi.zalopay.vn/v2/query"
}

params = {
  "app_id": config["app_id"],
  "app_trans_id": "<app_trans_id>"  # Input your app_trans_id"
}

data = "{}|{}|{}".format(config["app_id"], params["app_trans_id"], config["key1"]) # app_id|app_trans_id|key1
params["mac"] = hmac.new(config['key1'].encode(), data.encode(), hashlib.sha256).hexdigest()

response = urllib.request.urlopen(url=config["endpoint"], data=urllib.parse.urlencode(params).encode())
result = json.loads(response.read())

for k, v in result.items():
  print("{}: {}".format(k, v))

curl https://sb-openapi.zalopay.vn/v2/query \
  -d app_id=2553 \
  -d app_trans_id=190419_123456 \
  -d mac=440f389ddd834b40f21f9baed9448b530b6d7a9af722d747f3fa0af68c007c2e # app_id|app_trans_id|key1

Hoàn tiền giao dịch

API cho phép đối tác hoàn tiền toàn phần hoặc từng phần của 1 giao dịch thanh toán thành công qua ZaloPay.

Quy tắc hoàn tiền

HÌNH THỨC THANH TOÁN	NGUỒN TIỀN	HOÀN TIỀN VỀ	THỜI GIAN HOÀN TIỀN	NGÂN HÀNG HỖ TRỢ
Ứng dụng ZaloPay	Ví ZaloPay	Ví ZaloPay	Ngay lập tức	Vietcombank, Vietinbank, BIDV, Sacombank, Eximbank, SCB, Bản Việt, JCB
	ATM / Tài khoản ngân hàng	Ví ZaloPay	Ngay lập tức
	Visa / Master / JCB	Thẻ	5 - 7 ngày làm việc
Thanh toán Thẻ/Tài khoản ngân hàng qua cổng ZaloPay Gateway	ATM / Tài khoản ngân hàng	Tài khoản ngân hàng	3 - 5 ngày làm việc (tùy ngân hàng)	ABBank, ACB, Agribank, Bắc Á Bank, Bảo Việt Bank, BIDV, Đông Á Bank, Eximbank, GP Bank, HD Bank, Liên Việt Post Bank, Maritime Bank, MB Bank, Nam Á Bank, NCB, Bản Việt, OCB, Ocean Bank, PG Bank, Sacombank, Saigon Bank, SCB, SeA Bank, SHB, Techcombank, TP Bank, VIB
Thanh toán Thẻ/Tài khoản ngân hàng qua cổng ZaloPay Gateway	Visa / Master / JCB	Thẻ	5 - 7 ngày làm việc (tùy ngân hàng)

Luồng xử lý

Refund flow

Đặc tả API

Environment	Method	Endpoint
Sandbox	POST	https://sb-openapi.zalopay.vn/v2/refund
Real	POST	https://openapi.zalopay.vn/v2/refund

Content-Type:

application/x-www-form-urlencoded

application/json

application/xml

Dữ liệu truyền vào api

Tham số	Kiểu dữ liệu	Kích thước	Bắt buộc	Ý nghĩa
`m_refund_id`	String	45	✔	• Merchant phải tự gen ra mã giao dịch riêng của mình khi submit yêu cầu hoàn tiền. • Định dạng: `yymmdd_appid_xxxxxxxxxx`
`app_id`	Int		✔	Merchant app id đã được cấp khi đăng ký với ZaloPay.
`zp_trans_id`	String	15	✔	• Mã giao dịch muốn hoàn tiền. • Mã này được Zalo Pay trả về khi thanh toán.
`amount`	Long		✔	Số tiền muốn hoàn lại cho khách hàng
`refund_fee_amount`	Long			Phí của giao dịch hoàn tiền. Phí này sẽ được trích ra từ phần tiền người mua hàng nhận lại được từ giao dịch hoàn tiền. Nếu không cần phí hoàn, bạn có thể bỏ qua trường dữ liệu này.
`timestamp`	Long	13	✔	• Thời điểm thực hiện việc hoàn tiền (unix timestamp in milisecond). • Thời gian tính đến milisecond, và lấy theo current time
`mac`	String		✔	Thông tin chứng thực (xem cách tạo thông tin chứng thực bên dưới)
`description`	String	100	✔	Lý do hoàn tiền

Tạo thông tin chứng thực

mac = HMAC(hmac_algorithm, key1, hmac_input)

Trong đó:

hmac_algorithm: Là phương thức bảo mật do ứng dụng đăng ký với ZaloPay, mặc định là HmacSHA256
key1: Là Mac Key do ZaloPay cung cấp cho ứng dụng lúc đăng ký ứng dụng
hmac_input: Nếu không có phí hoàn (refund_fee_amount): hmac_input = app_id +"|"+ zp_trans_id +"|"+ amount +"|"+ description +"|"+ timestamp; nếu có phí hoàn: hmac_input = app_id +"|"+ zp_trans_id +"|"+ amount +"|"+ refund_fee_amount +"|"+ description +"|"+ timestamp.

Tham số api trả về

Tham số	Kiểu dữ liệu	Ý nghĩa
`return_code`	Int	`1` : Hoàn tiền giao dịch thành công
		`2` : Hoàn tiền thất bại, cần thực hiện lại giao dịch
		`3` : Đang hoàn tiền, gọi query_refund api để lấy trạng thái cuối cùng
`return_message`	String	Thông tin trạng thái
`sub_return_code`	Int	Thông tin chi tiết mã lỗi hoàn tiền
`sub_return_message`	String	Thông tin chi tiết trạng thái
`refund_id`	Long	Mã giao dịch hoàn tiền của ZaloPay, cần lưu lại để đối chiếu

Code mẫu

/**
 * .Net core 2.1.505
 */
using System;
using System.Text;
using System.Collections.Generic;
using System.Threading.Tasks;
using ZaloPay.Helper; // HmacHelper, RSAHelper, HttpHelper, Utils (tải về ở mục DOWNLOADS)
using ZaloPay.Helper.Crypto;
using Newtonsoft.Json; // https://www.newtonsoft.com/json

namespace ZaloPayExample
{
    class Program
    {
        static string app_id = "2553";
        static string key1 = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL";
        static string refund_url = "https://sb-openapi.zalopay.vn/v2/refund";

        static async Task Main(string[] args)
        {
            var timestamp = Utils.GetTimeStamp().ToString();
            var rand = new Random();
            var uid = timestamp+""+rand.Next(111, 999).ToString(); 

            Dictionary<string, string> param = new Dictionary<string, string>();
            param.Add("app_id", app_id);
            param.Add("m_refund_id", DateTime.Now.ToString("yyMMdd") + "_" + app_id + "_" + uid); 
            param.Add("zp_trans_id", "1234567");
            param.Add("amount", "1000");
            param.Add("timestamp", timestamp);
            param.Add("description", "demo");

            var data = app_id + "|" + param["zp_trans_id"] + "|" + param["amount"] + "|" + param["description"] + "|" + param["timestamp"];
            param.Add("mac", HmacHelper.Compute(ZaloPayHMAC.HMACSHA256, key1, data));

            var result = await HttpHelper.PostFormAsync(refund_url, param);

            foreach(var entry in result) {
                Console.WriteLine("{0} = {1}", entry.Key, entry.Value);
            }
        }
    }
}

// Java version "1.8.0_201"
import org.apache.http.NameValuePair; // https://mvnrepository.com/artifact/org.apache.httpcomponents/httpclient
import org.apache.http.client.entity.UrlEncodedFormEntity;
import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpPost;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.message.BasicNameValuePair;
import org.json.JSONObject; // https://mvnrepository.com/artifact/org.json/json
import vn.zalopay.crypto.HMACUtil; // tải về ở mục DOWNLOADS

import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.text.SimpleDateFormat;
import java.util.*;
import java.util.logging.Logger;

public class Refund {
    private static Logger logger = Logger.getLogger(App.class.getName());

    private static Map<String, String> config = new HashMap<String, String>(){{
        put("app_id", "2553");
        put("key1", "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL");
        put("key2", "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz");
        put("refund_url", "https://sb-openapi.zalopay.vn/v2/refund");
    }};

    private static String getCurrentTimeString(String format) {
        Calendar cal = new GregorianCalendar(TimeZone.getTimeZone("GMT+7"));
        SimpleDateFormat fmt = new SimpleDateFormat(format);
        fmt.setCalendar(cal);
        return fmt.format(cal.getTimeInMillis());
    }

    public static void main( String[] args ) throws Exception
    {
        String appid = config.get("appid");
        Random rand = new Random();
        long timestamp = System.currentTimeMillis(); // miliseconds
        String uid = timestamp + "" + (111 + rand.nextInt(888)); // unique id

        Map<String, Object> order = new HashMap<String, Object>(){{
            put("app_id", appid);
            put("zp_trans_id", 123456789);
            put("m_refund_id", getCurrentTimeString("yyMMdd") +"_"+ appid +"_"+uid);
            put("timestamp", timestamp);
            put("amount", 50000);
            put("description", "ZaloPay Intergration Demo");
        }};

        // appid|zptransid|amount|description|timestamp
        String data = order.get("app_id") +"|"+ order.get("zp_trans_id") +"|"+ order.get("amount")
                +"|"+ order.get("description") +"|"+ order.get("timestamp");
        order.put("mac", HMACUtil.HMacHexStringEncode(HMACUtil.HMACSHA256, config.get("key1"), data));

        CloseableHttpClient client = HttpClients.createDefault();
        HttpPost post = new HttpPost(config.get("refund_url"));

        List<NameValuePair> params = new ArrayList<>();
        for (Map.Entry<String, Object> e : order.entrySet()) {
            params.add(new BasicNameValuePair(e.getKey(), e.getValue().toString()));
        }

        post.setEntity(new UrlEncodedFormEntity(params));

        CloseableHttpResponse res = client.execute(post);
        BufferedReader rd = new BufferedReader(new InputStreamReader(res.getEntity().getContent()));
        StringBuilder resultJsonStr = new StringBuilder();
        String line;

        while ((line = rd.readLine()) != null) {
            resultJsonStr.append(line);
        }

        JSONObject result = new JSONObject(resultJsonStr.toString());
        for (String key : result.keySet()) {
            System.out.format("%s = %s\n", key, result.get(key));
        }
    }
}

// go version go1.11.1 linux/amd64
package main

import (
    "encoding/json"
    "fmt"
    "io/ioutil"
    "log"
    "net/http"
    "net/url"
    "strconv"
    "time"

    "github.com/zpmep/hmacutil" // go get github.com/zpmep/hmacutil
)

var (
    appID = "2553"
    key1  = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL"
    key2  = "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz"
)

func main() {
    params := make(url.Values)
    params.Add("app_id", appID)
    params.Add("zp_trans_id", "190508000000017")
    params.Add("amount", "50000")
    params.Add("description", "ZaloPay Refund Demo")

    now := time.Now()
    timestamp := now.UnixNano() / int64(time.Millisecond) // Miliseconds
    params.Add("timestamp", strconv.FormatInt(timestamp, 10))

  uid := fmt.Sprintf("%d%d", timestamp, 111+rand.Intn(888))

    params.Add("m_refund_id", fmt.Sprintf("%02d%02d%02d_%v_%v", now.Year()%100, int(now.Month()), now.Day(), appID, uid))

    // app_id|zp_trans_id|amount|description|timestamp
    data := fmt.Sprintf("%v|%v|%v|%v|%v", appID, params.Get("zp_trans_id"), params.Get("amount"), params.Get("description"), params.Get("timestamp"))
    params.Add("mac", hmacutil.HexStringEncode(hmacutil.SHA256, key1, data))

    log.Printf("%+v", params)

    // Content-Type: application/x-www-form-urlencoded
    res, err := http.PostForm("https://sb-openapi.zalopay.vn/v2/refund", params)

    if err != nil {
        log.Fatal(err)
    }
    defer res.Body.Close()

    body, _ := ioutil.ReadAll(res.Body)

    var result map[string]interface{}

    if err := json.Unmarshal(body, &result); err != nil {
        log.Fatal(err)
    }

    for k, v := range result {
        log.Printf("%s = %v", k, v)
    }
}

// Node v10.15.3
const axios = require('axios').default; // npm install axios
const CryptoJS = require('crypto-js'); // npm install crypto-js
const moment = require('moment'); // npm install moment

const config = {
  app_id: "2553",
  key1: "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  key2: "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  refund_url: "https://sb-openapi.zalopay.vn/v2/refund"
};

const timestamp = Date.now();
const uid = `${timestamp}${Math.floor(111 + Math.random() * 999)}`; // unique id

let params = {
  app_id: config.app_id,
  m_refund_id: `${moment().format('YYMMDD')}_${config.app_id}_${uid}`,
  timestamp, // miliseconds
  zp_trans_id: '190508000000022',
  amount: '50000',
  description: 'ZaloPay Refund Demo',
};

// app_id|zp_trans_id|amount|description|timestamp
let data = params.app_id + "|" + params.zp_trans_id + "|" + params.amount + "|" + params.description + "|" + params.timestamp;
params.mac = CryptoJS.HmacSHA256(data, config.key1).toString();

axios.post(config.refund_url, null, { params })
  .then(res => console.log(res.data))
  .catch(err => console.log(err));

<?php

// PHP Version 7.3.3

$config = [
  "app_id" => 2553,
  "key1" => "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2" => "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "refund_url" => "https://sb-openapi.zalopay.vn/v2/refund"
];

$timestamp = round(microtime(true) * 1000); // miliseconds
$uid = "$timestamp".rand(111,999); // unique id 

$params = [
  "app_id" => $config["app_id"],
  "m_refund_id" => date("ymd")."_".$config["app_id"]."_".$uid,
  "timestamp" => $timestamp,
  "zp_trans_id" => 123456789,
  "amount" => 50000,
  "description" => "ZaloPay Intergration Demo"
];

// app_id|zp_trans_id|amount|description|timestamp
$data = $params["app_id"]."|".$params["zp_trans_id"]."|".$params["amount"]
  ."|".$params["description"]."|".$params["timestamp"];
$params["mac"] = hash_hmac("sha256", $data, $config["key1"]);

$context = stream_context_create([
  "http" => [
    "header" => "Content-type: application/x-www-form-urlencoded\r\n",
    "method" => "POST",
    "content" => http_build_query($params)
  ]
]);

$resp = file_get_contents($config["refund_url"], false, $context);
$result = json_decode($resp, true);

foreach ($result as $key => $value) {
  echo "$key: $value<br>";
}

# ruby 2.5.1p57

require 'json'
require 'openssl'
require 'net/http'

config = {
  app_id: '2553',
  key1: 'PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL',
  key2: 'kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz',
  refund_url: 'https://sb-openapi.zalopay.vn/v2/refund'
}

app_id = config[:app_id]
timestamp = (Time.now.to_f.round(3) * 1000).to_i
uid = timestamp.to_s + '' + (111 + Random.rand(888)).to_s # unique id
m_refund_id = Time.now.strftime('%y%m%d') + '_' + app_id + '_' + uid

order = {
  app_id: app_id,
  zp_trans_id: "123456789",
  m_refund_id: m_refund_id,
  timestamp: timestamp,
  amount: 50_000,
  description: 'ZaloPay Integration Demo',
}

# app_id|zptransid|amount|description|timestamp
data = app_id + '|' + order[:zp_trans_id] + '|' + order[:amount].to_s + '|' + order[:description] + '|' + order[:timestamp].to_s

order[:mac] = OpenSSL::HMAC.hexdigest('sha256', config[:key1], data)

res = Net::HTTP.post_form(URI.parse(config[:refund_url]), order)
result = JSON.parse(res.body)

result.each do |key, value|
  puts "#{key}: #{value}"
end

# coding=utf-8
# Python 3.6

from time import time
from datetime import datetime
import random, json, hmac, hashlib, urllib.request, urllib.parse

config = {
  "app_id": 2553,
  "key1": "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2": "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "refund_url": "https://sb-openapi.zalopay.vn/v2/refund"
}

timestamp = int(round(time() * 1000)) # miliseconds
uid =  "{}{}".format(timestamp, random.randint(111, 999)) # unique id

order = {
  "app_id": config["app_id"],
  "m_refund_id": "{:%y%m%d}_{}_{}".format(datetime.today(), config["app_id"], uid),
  "timestamp": timestamp,
  "zp_trans_id": 123456789,
  "amount": 1000,
  "description": "ZaloPay Integration Demo",
}

# appid|zptransid|amount|description|timestamp
data = "{}|{}|{}|{}|{}".format(order["m_refund_id"], order["zp_trans_id"], order["amount"], order["description"], order["timestamp"])
order["mac"] = hmac.new(config['key1'].encode(), data.encode(), hashlib.sha256).hexdigest()

response = urllib.request.urlopen(url=config["refund_url"], data=urllib.parse.urlencode(order).encode())
result = json.loads(response.read())

for k, v in result.items():
  print("{}: {}".format(k, v))

curl -X POST https://sandbox.zalopay.com.vn/v001/tpe/partialrefund \
  -H "Content-type: application/x-www-form-urlencoded" \
  -d app_id=2553 \
  -d m_refund_id=190419_2553_352a73a0-6249-11e9-b146-9306e752a45c \
  -d timestamp=1555640217561 \
  -d zp_trans_id=1234567 \
  -d amount=1000 \
  -d description='ZaloPay Integration Demo' \
  -d mac=5d826b55da6b97525d3eb80a7484922300ae5e2be7d51a35be8e34763a899d73

Truy vấn trạng thái hoàn tiền - QueryRefund

API cho phép đối tác gọi để truy vấn tình trạng hoàn tiền của 1 giao dịch hoàn tiền.

Luồng xử lý

Get refund status flow

Đặc tả API

Environment	Method	Endpoint
Sandbox	POST	https://sb-openapi.zalopay.vn/v2/query_refund
Real	POST	https://openapi.zalopay.vn/v2/query_refund

Content-Type:

application/x-www-form-urlencoded

application/json

application/xml

Dữ liệu truyền vào api

Tham số	Kiểu dữ liệu	Kích thước	Bắt buộc	Ý nghĩa
`app_id`	Int		✔	`app_id` của merchant được cung cấp
`m_refund_id`	String	45	✔	• Mã giao dịch merchant tự gen đã truyền qua lúc gọi hoàn tiền. • Định dạng: `yymmdd_appid_xxxxxxxxxx`
`timestamp`	Long		✔	Thời điểm gọi api (timestamp in milisecond)
`mac`	String		✔	`= HMAC(hmac_algorithm, key1, app_id+"\|"+m_refund_id+"\|"+timestamp)`

Tham số api trả về

Tham số	Kiểu dữ liệu	Ý nghĩa
`return_code`	Int	Mã trạng thái
`return_message`	String	Thông tin trạng thái
`sub_return_code`	Int	Mã trạng thái chi tiết
`sub_return_message`	String	Mô tả chi tiết mã trạng thái

Mã trạng thái

Mã lỗi	Miêu tả ngắn	Ý nghĩa
`1`	REFUND_SUCCESS	Refund thành công.
`2`	REFUND_FAIL	Refund thất bại.
`3`	PROCESSING	Giao dịch đang được hoàn tiền.
`-3`	Sai thông tin chứng thực.
`-10`	Sai thông tin app.
`-13`	Quá thời hạn cho phép hoàn tiền.
`-24`	Sai định dạng `m_refund_id`.
`-25`	`m_refund_id` có thời gian không đúng.
`-26`	`m_refund_id` có appId không đúng.

Code mẫu

/**
 * .Net core 2.1.505
 */
using System;
using System.Text;
using System.Collections.Generic;
using System.Threading.Tasks;
using ZaloPay.Helper; // HmacHelper, RSAHelper, HttpHelper, Utils (tải về ở mục DOWNLOADS)
using ZaloPay.Helper.Crypto;
using Newtonsoft.Json; // https://www.newtonsoft.com/json

namespace ZaloPayExample
{
    class Program
    {
        static string app_id = "2553";
        static string key1 = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL";
        static string query_refund_url = "https://sb-openapi.zalopay.vn/v2/query_refund";

        static async Task Main(string[] args)
        {
            Dictionary<string, string> param = new Dictionary<string, string>();
            param.Add("app_id", app_id);
            param.Add("timestamp", "123456789");
            param.Add("m_refund_id", "190308_2553_xxxxxx");

            var data = app_id + "|" + param["m_refund_id"] + "|" + param["timestamp"];
            param.Add("mac", HmacHelper.Compute(ZaloPayHMAC.HMACSHA256, key1, data));

            var result = await HttpHelper.PostFormAsync(query_refund_url, param);

            foreach(var entry in result) {
                Console.WriteLine("{0} = {1}", entry.Key, entry.Value);
            }
        }
    }
}

// Java version "1.8.0_201"
import org.apache.http.NameValuePair; // https://mvnrepository.com/artifact/org.apache.httpcomponents/httpclient
import org.apache.http.client.entity.UrlEncodedFormEntity;
import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpPost;
import org.apache.http.client.utils.URIBuilder;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.message.BasicNameValuePair;
import org.json.JSONObject; // https://mvnrepository.com/artifact/org.json/json
import vn.zalopay.crypto.HMACUtil; // tải về ở mục DOWNLOADS
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.net.URISyntaxException;
import java.util.ArrayList;
import java.util.HashMap;
import java.util.List;
import java.util.Map;

public class GetRefundStatus {
    private static final Map<String, String> config = new HashMap<String, String>(){{
        put("app_id", "2553");
        put("key1", "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL");
        put("key2", "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz");
        put("query_refund_url", "https://sb-openapi.zalopay.vn/v2/query_refund");
    }};

    public static void main(String[] args) throws Exception {
        String m_refund_id = "190308_2553_123456";
        String timestamp = Long.toString(System.currentTimeMillis()); // miliseconds
        String data = config.get("app_id") +"|"+ m_refund_id  +"|"+ timestamp; // app_id|m_refund_id|timestamp
        String mac = HMACUtil.HMacHexStringEncode(HMACUtil.HMACSHA256, config.get("key1"), data);

        List<NameValuePair> params = new ArrayList<>();
        params.add(new BasicNameValuePair("app_id", config.get("app_id")));
        params.add(new BasicNameValuePair("m_refund_id", m_refund_id));
        params.add(new BasicNameValuePair("timestamp", timestamp));
        params.add(new BasicNameValuePair("mac", mac));

        URIBuilder uri = new URIBuilder(config.get("query_refund_url"));
        uri.addParameters(params);

        CloseableHttpClient client = HttpClients.createDefault();
        HttpPost post = new HttpPost(uri.build());
        post.setEntity(new UrlEncodedFormEntity(params));

        CloseableHttpResponse res = client.execute(post);
        BufferedReader rd = new BufferedReader(new InputStreamReader(res.getEntity().getContent()));
        StringBuilder resultJsonStr = new StringBuilder();
        String line;

        while ((line = rd.readLine()) != null) {
          resultJsonStr.append(line);
        }

        JSONObject result = new JSONObject(resultJsonStr.toString());
        for (String key : result.keySet()) {
          System.out.format("%s = %s\n", key, result.get(key));
        }
    }
}

// go version go1.11.1 linux/amd64
package main

import (
    "encoding/json"
    "fmt"
    "io/ioutil"
    "log"
    "net/http"
    "net/url"
    "strconv"

    "github.com/zpmep/hmacutil" // go get github.com/zpmep/hmacutil
)

var (
    appID = "2553"
    key1  = "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL"
    key2  = "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz"
)

func main() {
    params := map[string]interface{}{
        "app_id":       appID,
        "m_refund_id": appTransID,
    "timestamp":  strconv.Itoa(12345678910),  // miliseconds
  }
    data := fmt.Sprintf("%v|%v|%v", appID, params["m_refund_id"], params["timestamp"]) // app_id|m_refund_id|timestamp
  params["mac"] = hmacutil.HexStringEncode(hmacutil.SHA256, key1, data)

  jsonStr, err := json.Marshal(params)
    if err != nil {
        log.Fatal(err)
  }

  res, err := http.Post("https://sb-openapi.zalopay.vn/v2/query_refund", "application/json", bytes.NewBuffer(jsonStr))

    if err != nil {
        log.Fatal(err)
    }
    defer res.Body.Close()

    body, _ := ioutil.ReadAll(res.Body)

    var result map[string]interface{}

    if err := json.Unmarshal(body, &result); err != nil {
        log.Fatal(err)
    }

    for k, v := range result {
        log.Printf("%s = %+v", k, v)
    }
}

// Node v10.15.3
const axios = require('axios').default; // npm install axios
const CryptoJS = require('crypto-js'); // npm install crypto-js

const config = {
  app_id: "2553",
  key1: "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  key2: "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  endpoint: "https://sb-openapi.zalopay.vn/v2/query_refund"
};

const params = {
  app_id: config.app_id,
  timestamp: Date.now(), // miliseconds
  m_refund_id: "190312_2553_123456", 
};

const data = config.app_id + "|" + params.m_refund_id + "|" + params.timestamp; // app_id|m_refund_id|timestamp
params.mac = CryptoJS.HmacSHA256(data, config.key1).toString()

axios.post(config.endpoint, null, { params })
  .then(res => console.log(res.data))
  .catch(err => console.log(err));

<?php

// PHP Version 7.3.3

$config = [
  "app_id" => 2553,
  "key1" => "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2" => "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "endpoint" => "https://sb-openapi.zalopay.vn/v2/query_refund"
];

$m_refund_id = "190308_2553_123456"; 
$timestamp = round(microtime(true) * 1000); // miliseconds
$data = $config["app_id"]."|".$m_refund_id."|".$timestamp; // app_id|m_refund_id|timestamp
$params = [
  "app_id" => $config["app_id"],
  "timestamp" => $timestamp,
  "m_refund_id" => $m_refund_id,
  "mac" => hash_hmac("sha256", $data, $config["key1"])
];

$context = stream_context_create([
    "http" => [
        "header" => "Content-type: application/x-www-form-urlencoded\r\n",
        "method" => "POST",
        "content" => http_build_query($params)
    ]
]);

$resp = file_get_contents($config["endpoint"], false, $context);
$result = json_decode($resp, true);

foreach ($result as $key => $value) {
  echo "$key: $value<br>";
}

# ruby 2.5.1p57

require 'json'
require 'openssl' # gem install openssl
require 'net/http'

config = {
  app_id: '2553',
  key1: 'PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL',
  key2: 'kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz',
  endpoint: 'https://sb-openapi.zalopay.vn/v2/query_refund'
}

params = {
  app_id: config[:app_id],
  m_refund_id: "190312_2553_123456",
  timestamp: (Time.now.to_f.round(3) * 1000).to_i # miliseconds
}

data = config[:app_id] +"|"+ params[:m_refund_id] +"|"+ params[:timestamp].to_s # app_id|m_refund_id|timestamp
params[:mac] = OpenSSL::HMAC.hexdigest('sha256', config[:key1], data)

res = Net::HTTP.post_form(URI.parse(config[:endpoint]), params)
result = JSON.parse(res.body)

result.each do |key, value|
  puts "#{key}: #{value}"
end

# coding=utf-8
# Python 3.6

from time import time
import hmac, hashlib, urllib.parse, urllib.request

config = {
  "app_id": 2553,
  "key1": "PcY4iZIKFCIdgZvA6ueMcMHHUbRLYjPL",
  "key2": "kLtgPl8HHhfvMuDHPwKfgfsY4Ydm9eIz",
  "endpoint": "https://sb-openapi.zalopay.vn/v2/query_refund"
}

params = {
  "app_id": config["app_id"],
  "timestamp": int(round(time() * 1000)), # miliseconds
  "m_refund_id": "190409_2553_123456",
}

data = "{}|{}|{}".format(config["app_id"], params["m_refund_id"], params["timestamp"]) # app_id|m_refund_id|timestamp
params["mac"] = hmac.new(config["key1"].encode(), data.encode(), hashlib.sha256).hexdigest()

response = urllib.request.urlopen(url=config["endpoint"], data=urllib.parse.urlencode(params).encode())
result = json.loads(response.read())

for k, v in result.items():
  print("{}: {}".format(k, v))

curl https://sb-openapi.zalopay.vn/v2/query_refund \
  -d app_id=2553 \
  -d timestamp=1555640469224 \
  -d m_refund_id=190308_2553_123456 \
  -d mac=4255035bae2e65118887bc17110ab4b43a1cdd7c513aad9b25a5ef27e187196e

Danh sách API

Tạo đơn hàng

Luồng xử lý

Đặc tả API

Thông tin đơn hàng

Một số trường đặc biệt của embed_data

Tạo thông tin chứng thực

Tham số api trả về

Code mẫu

Callback

Luồng xử lý

Đặc tả API

Dữ liệu nhận được từ callback:

Kiểm tra callback hợp lệ

Các kênh thanh toán hỗ trợ:

Thông tin AppServer trả về cho ZaloPayServer khi nhận callback

Code mẫu

Truy vấn trạng thái thanh toán của đơn hàng

Luồng xử lý

Đặc tả API

Dữ liệu truyền vào api

Tham số api trả về

Code mẫu

Hoàn tiền giao dịch

Quy tắc hoàn tiền

Luồng xử lý

Đặc tả API

Dữ liệu truyền vào api

Tạo thông tin chứng thực

Tham số api trả về

Code mẫu

Truy vấn trạng thái hoàn tiền - QueryRefund

Luồng xử lý

Đặc tả API

Dữ liệu truyền vào api

Tham số api trả về

Mã trạng thái

Code mẫu