直接用官方AOP SDK+Yii可跑通支付宝支付，但多数人卡在命名空间、路径引入和回调验签三处：AlipayTradeService.php引入失败因无命名空间及依赖顺序错；notify_url验签失败主因是未及时获取php://input原始数据或公钥配置错误；return_url仅作前端展示，不可信且不保证到达，唯一可信结果来源是验签通过的异步notify_url回调。

直接用官方 AOP SDK + Yii 的参数管理和生命周期控制，就能跑通支付宝支付，但多数人卡在命名空间、路径引入和回调验签这三处。

AlipayTradeService.php 引入失败报 Class not found

这是最常见问题：官方 demo 里的 AlipayTradeService.php 默认不带命名空间，且依赖同目录下其他类（如 AlipayCore.php），直接 require 进 Yii 控制器会因类加载冲突或找不到依赖而报错。

• 必须统一补全命名空间，例如改成 namespace app\components\alipay;，所有相关文件（AlipayCore.php、AlipaySignature.php、AlipayTradeService.php）保持一致
• require 顺序不能乱：AlipayCore.php → AlipaySignature.php → AlipayTradeService.php
• 不要放在 vendor/ 下靠 Composer 自动加载——SDK 不符合 PSR-4，Composer 找不到类
• 推荐路径：放到 @common/components/alipay/，并在控制器里用 Yii::setAlias('@alipay', '@common/components/alipay'); 显式声明别名

notify_url 验证失败返回 fail

异步通知验签失败，90% 是因为没做原始 POST 数据还原或公钥配置错误，不是代码逻辑问题。

Yii Framework 2.0.51

Yii Framework 2.0.51 官方 Basic 应用模板，适合旧项目兼容、升级验证和开发测试。

下载

• file_get_contents('php://input') 必须在任何 $_POST 读取前调用，否则为空；Yii 默认会提前解析 body，所以要在 beforeAction() 或控制器开头立即获取
• 验签时用的公钥是 alipay_public_key（支付宝平台后台导出的 RSA 公钥），不是你生成的商户私钥，也不是 merchant_private_key
• 验签方法必须传入原始未 decode 的数据字符串，不能先 $_POST 再拼接——支付宝回调是 application/x-www-form-urlencoded 格式，但验签要求原始签名串和原始业务参数一一对应
• 注意 sign_type 必须和配置一致（推荐 RSA2），且服务端 PHP 编译需开启 openssl 扩展

return_url 同步跳转后无法获取支付结果

同步跳转地址（return_url）只作展示用，不可用于更新订单状态，它既不保证到达，也不含完整可信数据。

• return_url 参数是用户浏览器跳转携带的，可能被篡改，trade_status 字段在同步响应中不可信，仅作前端提示
• 真正唯一可信的支付结果来源只有 notify_url 的异步回调，且必须验证 sign 和 notify_id（后者需调用 alipay.notify.verify 接口二次确认）
• 如果同步跳转页面需要显示“支付成功”，只能查本地订单状态（比如根据 out_trade_no 查库），不能信任 URL 中的任何参数
• return_url 地址必须能被公网访问，不能含 ?r= 类路由参数（部分老教程这么写，但支付宝网关会过滤掉），建议用标准 path 形式如 /pay/return

最易被忽略的是：支付宝回调可能重复推送，且无序到达。哪怕验签通过，也得先查订单当前状态再决定是否更新，避免多次扣款或状态覆盖。这不是 Yii 特性，是所有支付集成的通用约束。