签名验证需对post参数双重url解码并按键名ascii升序排序后拼接计算，剔除sig字段；响应须2秒内返回{"data":"ok"}；回调地址端口仅限80或8080。
签名验证必须解码两次，否则 sig 总是校验失败
美团所有订单推送（已支付订单、已确认订单、已完成订单等）的 POST 参数都是 URL 编码过的，而且是双重编码。比如 order_id=123%2526456 实际上是 123%26456 再编码一次的结果。如果只用 urldecode() 解一次，sig 计算用的参数值就和美团端不一致，必然验签失败。
ThinkPHP 默认的 $request->post() 会自动做一次解码，但你必须再手动解一次：
foreach ($params as $k => $v) {
$params[$k] = urldecode($v);
}
常见错误现象：sig mismatch 或始终返回 401；容易被忽略的是 app_id、timestamp、sig 这几个关键字段也参与双重编码，不能跳过。
POST 参数未排序就计算 sig，100% 验证失败
美团明确说明“推送的参数尚未排序”，而 sig 是按参数名升序拼接后计算的。ThinkPHP 接收的 $request->post() 是无序数组，直接遍历拼串会导致顺序随机，sig 每次都不一样。
正确做法是：提取所有非 sig 参数 → 按键名 ASCII 升序排序 → 拼成 k1=v1&k2=v2&... 字符串 → 再拼上密钥（secret）→ 计算 md5() 或 sha256()（看你在开发者中心配的是哪种）。
- 别漏掉空值参数，美团会推送
remark=这类值为空的字段，也要参与排序和拼串 -
sig字段本身必须从参数中剔除，否则验签逻辑永远错 - 推荐用
ksort($params, SORT_STRING)，别用asort—— 键名排序才是美团要求的
回调响应必须在 2 秒内返回 {"data":"ok"}
美团对回调接口有硬性超时限制：收到请求后 2 秒内没返回指定格式 JSON，就判定推送失败，并触发重试（最多 3 次，间隔 1 分钟）。ThinkPHP 中常见卡点是：
- 数据库写入慢（比如没建好索引，或用了事务锁表）
- 日志写磁盘阻塞（尤其在 debug 模式下打太多 info 日志）
- 调用了外部 HTTP 请求（如通知钉钉、发短信），没设超时
建议把核心逻辑（验签 + 存订单原始数据）做完后，立即返回 {"data":"ok"}，后续处理（如更新本地订单状态、发库存扣减消息）全部丢进队列异步执行。ThinkPHP 的 think\queue\Job 或 event 机制都可胜任。
端口只能用 80 或 8080，HTTPS 不行
美团官方文档反复强调：“APP方回调地址的端口请务必使用80或8080端口，以免导致推送失败”。这意味着：
- 不能用
https://your.com:443/callback—— 即使证书有效也会被拒 - 不能用
http://your.com:8081/callback—— 端口不符直接失败 - 反向代理（Nginx/Apache）必须把 80/8080 的流量准确转发到 ThinkPHP 的实际服务端口（如 9501），且
X-Forwarded-Proto和X-Real-IP头要透传，否则$request->ip()可能取到内网地址
最容易被忽略的一点：本地开发用 php think run -p 8080 能跑通，但上线后若 Nginx 配置了 proxy_set_header Host $host; 却没加 proxy_set_header X-Forwarded-Port 80;，部分中间件可能误判端口，导致签名中混入错误端口信息。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
