webman接入微信支付的核心难点是证书加载、签名验证和回调验签；需正确配置证书路径与权限、手动透传带连字符请求头、使用原始请求体验签，并通过webman-admin动态管理敏感配置。
Webman 接入微信支付，核心难点不在框架本身，而在证书加载、签名验证和回调验签这三步——跳过任何一步都可能收不到支付成功通知或被拒单。
webman 中如何正确加载微信 API 证书（apiclient_cert.pem / apiclient_key.pem）
微信 v3 接口强制要求使用平台证书做双向 TLS 认证，apiclient_cert.pem 和 apiclient_key.pem 必须成对使用，且路径必须可被 PHP 进程读取（注意 webman 是常驻进程，文件权限变更后需 reload）。
- 证书不能放在
public/目录下，否则可能被直接下载暴露私钥；推荐放config/cert/wechat/并设为600权限 - PHP 的
openssl_pkey_get_private()会拒绝加载带密码的私钥，确保导出时没设密码（微信证书工具默认不加） - 若用
wechatpay-phpSDK，初始化RSAAutoCertificateConfig时传的是证书路径字符串，不是内容；路径必须是绝对路径，建议用realpath(config_path('cert/wechat/apiclient_key.pem')) - 常见报错
failed to load private key多因路径错误、权限不足或 PEM 格式损坏（比如 Windows 换行符导致）
为什么 webman 的支付回调总提示「签名失败」
微信回调请求头 WECHATPAY-SIGNATURE 和 WECHATPAY-NONCE 必须原样透传给 SDK 验签，而 webman 默认会过滤掉带连字符的 header 名——这是最隐蔽的坑。
- 在
config/server.php的onRequest回调中，手动补全缺失 header：$request->withHeader('Wechatpay-Serial', $request->getHeaderLine('wechatpay-serial'))等（注意大小写映射） - 微信回调 body 是原始 JSON 字符串，不能先
json_decode再拼接验签原文；SDK 要求用原始$request->getBody()->getContents() - 务必校验
WECHATPAY-TIMESTAMP时间戳与服务器时间差是否在 5 分钟内，否则验签直接失败（webman 无自动时区同步，NTP 不稳时容易飘） - 别用
$_POST或$request->post()解析回调，它会自动 urldecode + json_decode，破坏原始签名数据
webman-admin 后台里怎么安全存配置而不硬编码
把 mch_id、api_v3_key、证书路径这些敏感项写死在 config/payment.php 里，上线后极易泄露；webman-admin 自带配置管理模块，但需主动适配。
- 在后台「系统设置 → 参数配置」新增字段，类型设为
password（隐藏值）或textarea（存 PEM 内容），键名如wechat_mch_id、wechat_api_v3_key - 读取时用
setting('wechat_mch_id')，而非直接 require 配置文件；避免缓存未刷新导致旧密钥残留 - 证书文件不能存数据库，仍需落盘；可在后台上传后，由控制器保存到
runtime/cert/并返回相对路径，再拼成绝对路径传给 SDK - 切记：所有配置项必须通过
setting()动态读取，否则热更新失效，改了后台配置也白搭
真正卡住人的从来不是「怎么调通下单接口」，而是证书路径权限不对、header 被框架截断、回调 body 被二次解析——这些细节 webman 文档几乎不提，但每一条都会让支付回调静默失败。动手前先用 curl -v 抓一次真实回调请求，比看十遍文档都管用。
