核心难点是命名空间、自动加载和回调验签；必须用aopclient（非alipaytradeservice）适配app/小程序，sdk需放vendor并统一命名空间为alipayop，回调须用php://input原始数据验签，orderstring直接输出勿json封装。
直接用官方 PHP SDK 在 Yii 中集成支付宝，核心难点不是调用本身，而是命名空间、自动加载和回调验签这三处——90% 的失败都卡在这儿。
AlipayTradeService 和 AopClient 到底该用哪个
别被文档搞晕：AlipayTradeService 是旧版「页面跳转支付」封装类（对应 alipay.trade.page.pay），适合 PC 端；AopClient 是新版统一 SDK 入口，支持 App 支付（alipay.trade.app.pay）、小程序、JSAPI 等全部场景。
如果你做的是 App 或小程序支付，必须用 AopClient；如果是网页跳转，两个都能用，但推荐统一用 AopClient 避免后续扩展麻烦。
-
AopClient要求所有请求类（如AlipayTradeAppPayRequest）和加密类（AopEncrypt）都声明正确命名空间，否则new会报 Class not found -
AlipayTradeService内部仍依赖AopClient，只是做了参数组装封装，调试时反而更难定位问题 - 沙箱环境测试时，
gatewayUrl必须设为https://openapi.alipaydev.com/gateway.do，线上才换正式地址
命名空间和文件位置怎么配才不报错
把下载的 SDK 解压后丢进 vendor/alipay/aop 是最稳妥的做法，然后逐个打开 AopClient.php、AopEncrypt.php、AlipayTradeAppPayRequest.php，把顶部的 namespace 改成 alipayop。
接着在 config/web.php 或 params.php 里加别名：
Yii::setAlias('@alipay', '@vendor/alipay/aop');
控制器里就能干净地 use alipayopAopClient;，不用 require 或硬路径引入。
- 千万别把 SDK 放到
frontend/alipay下再手动改 namespace 为frontendlipay——Yii 自动加载器不会扫描 frontend 目录下的非标准命名空间 - 如果用了 Composer 自动加载，要额外在
composer.json的autoload里加"psr-4": {"alipay\aop\": "vendor/alipay/aop/"}并运行composer dump-autoload -
AopEncrypt.php里的openssl_pkey_get_private()报错，大概率是rsaPrivateKey字符串开头少了"-----BEGIN RSA PRIVATE KEY----- "这种换行和分隔符
notify_url 异步回调为什么总验签失败
不是验签逻辑写错了，而是没处理好原始 POST 数据。支付宝回调发的是 application/x-www-form-urlencoded 格式，但里面混着 JSON 字段（比如 sign、notify_id），直接用 $_POST 会丢失原始结构，导致验签失败。
正确做法是：在回调入口第一行就用 file_get_contents('php://input') 拿原始数据，再交给 AopClient::rsaCheckV1() 验证。
- 验签前必须先过滤掉
sign和sign_type字段，否则验签永远失败 -
rsaCheckV1()第二个参数是支付宝公钥（alipayrsaPublicKey），不是你自己的私钥，别传反 - 回调地址
notify_url必须是外网可访问、无重定向、不带 session 或登录拦截的纯接口，Nginx/Apache 日志里看到 403/500 就白搭 - 验签通过后，还要查一遍订单状态再更新，防止重复通知（支付宝可能多次推送同一笔成功结果）
支付成功后客户端拿不到 orderString 怎么办
$response = $aop->sdkExecute($request) 返回的不是 JSON，而是一串形如 alipay_trade_app_pay_response{"alipay_trade_app_pay_response":{"code":"10000",...}} 的原始字符串——这就是客户端要的 orderString，直接 echo 给前端就行。
注意两点：
- 别用
json_encode()包一层再输出，App SDK 会解析失败 - 别用
htmlspecialchars()，除非你要在浏览器里看日志，否则会破坏签名字段中的特殊字符 - 返回前加
header('Content-Type: text/plain; charset=utf-8');，避免某些安卓 WebView 因 MIME 类型问题截断响应
真正容易被忽略的是：支付宝对 out_trade_no 做了严格去重校验，同一订单号在 24 小时内重复请求，第二次会直接返回缓存的 orderString，而不是新生成——所以测试时务必每次换新订单号，否则你以为接口挂了，其实是支付宝在“帮你省资源”。
