请分析支付宝回调或支付通知的可靠性，并说明在什么安全机制下，伪造支付宝请求或篡改通知是难以成功的？

回答思路

1. 说明标准验签机制，如 RSA 签名、证书、密钥管理
2. 识别潜在伪造风险点，如验签缺失、密钥泄露、重放攻击
3. 阐述纵深防御，如商户订单状态机、幂等处理、回调来源校验
4. 分析伪造支付宝请求的限制条件