ThinkPHP如何兼容第三方支付接口签名_参数拼接转换技巧-ThinkPHP-PHP中文网

第三方支付签名失败主因是参数标准化不当：微信需ascii排序、过滤空值且不url编码；支付宝须用原始输入、正确处理时间戳与json编码；验签必须读取原始请求数据而非框架解析后的内容。

thinkphp如何兼容第三方支付接口签名_参数拼接转换技巧

第三方支付签名失败的常见原因

ThinkPHP 本身不内置支付签名逻辑，直接套用官方 SDK 或文档示例常出错，核心问题往往不是算法写错，而是参数拼接前的「数据标准化」没做对。比如微信支付要求参数按字典序排序后拼接，而 ksort() 对中文键名或数字键处理不当；支付宝要求去除空值、null 和空字符串，但 ThinkPHP 的 input() 可能返回 '' 或 0，误判为有效参数。

ThinkPHP 中安全拼接待签名参数的实操步骤

以微信 JSAPI 支付的 sign 字段生成为例，关键不是调用 md5()，而是确保输入字符串完全符合其规范：

先用 array_filter($params, function($v) { return $v !== '' && $v !== null && $v !== false; }) 过滤掉空值（注意：不要用 array_filter($params) 简写，它会把 0、'0' 也干掉）
对剩余键名做严格 ASCII 排序：用 uksort($params, 'strcmp')，避免 ksort() 在 UTF-8 下对中文键乱序
拼接时统一用 = 连接键值，用 & 分隔，且**不 URL 编码**（微信要求原始字符串拼接，签名后再整体 urlencode 是错的）
末尾追加 &key=YOUR_KEY（注意是明文 key，不是密钥 ID）

示例片段：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

$params = [
    'appid' => config('wechat.app_id'),
    'mch_id' => config('wechat.mch_id'),
    'nonce_str' => \think\facade\Str::random(32),
    'body' => '商品',
    'out_trade_no' => date('YmdHis') . mt_rand(1000, 9999),
    'total_fee' => 1,
    'spbill_create_ip' => request()->ip(),
    'notify_url' => url('pay/notify', '', true, true),
    'trade_type' => 'JSAPI',
    'openid' => $openid,
];
// 过滤 + 排序 + 拼接
$filtered = array_filter($params, function($v) { return $v !== '' && $v !== null && $v !== false; });
uksort($filtered, 'strcmp');
$stringA = http_build_query($filtered, '', '&', PHP_QUERY_RFC3986);
$stringA = preg_replace('/[[0-9]+]/', '[]', $stringA); // 修复 thinkphp input 带数组键时的 query 异常
$stringSignTemp = $stringA . '&key=' . config('wechat.key');
$sign = strtoupper(md5($stringSignTemp));

支付宝 RSA2 签名时 ThinkPHP 请求参数的陷阱

支付宝 SDK 要求待签名原文是「字段=值」按字母升序拼接、不带空格、不 URL 编码，但 ThinkPHP 的 Request::param() 默认会将 GET 参数中的 + 解为（空格），导致签名原文与支付宝服务端不一致。更隐蔽的是，支付宝要求时间戳字段为 yyyy-MM-dd HH:mm:ss 格式（含空格），而 PHP date() 默认生成的字符串若被自动 trim 或转义就失效。

所有传给 alipay_sdk_php 的参数，必须用 input('', '', null) 获取原始未处理值，避免框架自动过滤或转义
手动构造 biz_content JSON 字符串时，用 json_encode($data, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)，否则中文会被转成 \uXXXX，支付宝验签失败
签名前调用 openssl_sign() 时，私钥路径务必用 __DIR__ . '/cert/app_private_key.pem' 绝对路径，相对路径在 CLI 或 FPM 下容易因工作目录不同而加载失败

签名验证环节绕过 ThinkPHP 自动解析的必要性

支付回调（如微信 notify、支付宝 return_url）的验签失败，90% 是因为框架自动把原始 POST 数据做了 parse_str() 或 JSON 解析，破坏了原始报文结构。微信回调必须用 file_get_contents('php://input') 读原始 XML，支付宝同步回调需用 $_GET 原始数组而非 input('get.')。

微信 notify：禁用中间件自动解析，路由定义加 ['middleware' => ['cors', 'throttle:deny'] ] 并在控制器里第一行写 $raw = file_get_contents('php://input');
支付宝异步通知：用 $_POST 配合 array_filter($_POST, 'is_string') 提取字符串字段，再调用 AlipayAopClient::rsaCheckV1()
切忌在验签前调用任何 input()、param()、post() 方法，它们会触发全局过滤器，可能把 sign 字段提前转义或截断