如何实现PHP支付接口集成-php教程-PHP中文网

php支付接口集成需严控渠道、模式、异步通知与签名逻辑；支付宝subject和out_trade_no须严格校验，微信jsapi需按规则拼接jsapi_parameters并sha256签名；notify_url必须幂等处理、签名校验、主动查单，并注意证书路径与curl超时配置。

如何实现php支付接口集成

PHP支付接口集成不是“调个SDK就行”的事，关键看对接的是哪家支付渠道、用的什么模式（即时到账/扫码/APP/JSAPI）、有没有正确处理异步通知和签名逻辑——漏掉任意一环都可能收不到钱或重复扣款。

支付宝 `alipay.trade.pay` 接口调用时，`subject` 和 `out_trade_no` 必须严格校验

这两个字段在下单时传入，后续所有查询、退款、通知都依赖它们。常见错误是前端生成 out_trade_no 但没做唯一性约束，导致并发下单时冲突；或者 subject 含非法字符（如 emoji、控制符），触发支付宝签名失败返回 "invalid-app-id" 这类误导性错误。

out_trade_no 建议用服务端生成（如 date('ymd').uniqid()），避免时间戳+随机数被猜中
subject 要过 mb_substr($str, 0, 30, 'UTF-8') 截断并 trim()，支付宝限制 30 字符且不支持换行
调试时用沙箱环境的 app_id 和私钥，别直接切生产密钥

微信 JSAPI 支付的 `jsapi_parameters` 签名必须用统一下单返回的 `prepay_id`

很多人卡在这一步：调通了统一下单接口，拿到 package 字符串，但前端 WXJSSDK.chooseWXPay() 一直报“支付参数错误”。根本原因是没按微信规则重新拼接签名字段——jsapi_parameters 不是直接把下单响应 JSON 当参数，而是要提取 appId、timeStamp、nonceStr、package、signType 五项，按字典序拼成 key=value&key=value 再 SHA256 签名。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

timeStamp 必须是字符串类型（如 '1712345678'），不是整型，否则签名不一致
package 的值是 'prepay_id=wx1234567890'，开头不能带空格或换行
签名用的密钥是商户平台设置的 APIv3 密钥，不是 APIv2 的 key

支付异步通知（`notify_url`）必须做幂等 + 签名校验 + 主动查单

别信前端回调或同步跳转，唯一可信的是支付平台 POST 到你 notify_url 的数据。但微信/支付宝会因网络问题重发通知，同一笔订单可能收到 3–5 次；更糟的是，有人伪造请求打你接口。

收到通知后第一件事是用官方 SDK 验证签名（微信用 openssl_verify()，支付宝用 AlipaySignature::rsaCheckV1()），验证失败直接 echo 'fail'
校验通过后，先查本地订单状态：如果已是“已支付”，直接 echo 'success'，不处理
如果状态是“待支付”，再调一次支付平台的 order.query（微信）或 alipay.trade.query（支付宝）确认真实状态，防止通知被劫持
数据库更新订单状态必须用 UPDATE ... WHERE out_trade_no = ? AND status = 'pending'，靠 WHERE 条件保证幂等

最常被忽略的是证书路径和超时配置：微信 APIv3 通知要用 .pem 格式证书，且 PHP 的 curl_setopt($ch, CURLOPT_SSLCERT, $cert_path) 必须指向含私钥的合并文件；支付宝 SDK 默认 15 秒超时，在高负载服务器上容易超时失败，得手动设 timeout 参数。