ThinkPHP微信公众号支付教程-ThinkPHP-PHP中文网

微信公众号支付在thinkphp中失败，主因是授权目录未精确匹配带尾斜杠的url路径、spbill_create_ip未获取真实客户端ip、jsapi二次签名参数顺序及key未按微信2026年规则严格对齐。

thinkphp微信公众号支付教程

微信公众号支付在 ThinkPHP 里跑不起来，八成不是代码写错了，而是授权目录、spbill_create_ip、签名顺序这三处没对齐微信 2026 年当前规则。官方文档没明说的坑，全卡在这儿。

授权目录必须精确匹配 URL PATH，且带尾部斜杠

微信校验的是你发起支付时浏览器地址栏的完整路径前缀，不是域名，也不是控制器名。比如用户正在访问 https://example.com/Home/Order/pay/id/123，那授权目录就得填 https://example.com/Home/Order/（注意末尾斜杠）。

TP6 默认开启 URL 重写，实际请求可能是 /index.php/Home/Order/pay，此时授权目录应为 https://example.com/index.php/Home/Order/
用 phpinfo() 或 var_dump($_SERVER['REQUEST_URI']) 确认真实路径结构，别靠猜
测试阶段务必用外网可访问地址，本地 127.0.0.1 或内网 IP 直接被微信拦截，连授权目录校验都进不去

`spbill_create_ip` 必须是真实客户端出口 IP，不能是空或 127.0.0.1

微信会校验这个字段是否与发起请求的设备公网 IP 一致。Nginx/Apache 默认不透传真实 IP，$_SERVER['REMOTE_ADDR'] 拿到的往往是反向代理地址。

公众号草稿 / 发布(微信 API)

公众号发布｜公众号草稿箱｜公众号群发｜图文推送｜微信 API｜wechat automation｜WeChat API automation｜auto publish｜scheduled publish — 公众号 API 发布工具，图文入草稿箱或直接群发，支持封面素材上传、发布前检查与 draft/publis...

下载

确保 Nginx 配置了 proxy_set_header X-Real-IP $remote_addr; 和 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
PHP 中取值优先用 $_SERVER['HTTP_X_REAL_IP']， fallback 到 $_SERVER['HTTP_X_FORWARDED_FOR']（取第一个非私有 IP），最后才用 $_SERVER['REMOTE_ADDR']
本地调试时，可在配置中临时硬编码为你的公网 IP（查 ip.cn），但上线前必须切回自动获取逻辑

JSAPI 支付二次签名必须用原始 key，且参数顺序固定

前端调 wx.chooseWxPay 所需的 paysign，不是用新 key 签，而是拿统一下单时生成签名的那个 key，再按严格顺序拼参签名。

参与签名的字段只有 5 个：appId、nonceStr、package、signType、timeStamp，缺一不可，大小写敏感（比如 nonceStr 不是 noncestr）
package 值必须是字符串 "prepay_id=wx123456789"，不是 XML、不是 JSON，也不能加任何前缀后缀
timeStamp 必须是当前秒级时间戳（time()），缓存或复用旧值会导致微信返回 “时间戳无效”
签名算法仍是 MD5，不是 HMAC-SHA256；拼接格式为 key1=value1&key2=value2&key=xxx，末尾加商户 key 后 MD5

notify_url 验签失败，大概率毁在数据源和响应格式上

微信回调不走常规 POST 解析流程，直接发原始 XML 流，很多 TP 中间件会提前消费掉它。

绝对不要用 $this->request->post() 或 input('post.') 读取回调数据，必须用 file_get_contents('php://input')
XML 转数组后，先 unset($data['sign'])，再按 key 字典序升序排列，拼成 k1=v1&k2=v2 字符串，末尾加 &key=xxx，再 MD5
验签通过后，必须原样输出 <xml><return_code>SUCCESS</return_code><return_msg>OK</return_msg></xml>，HTTP 状态码 200，不能多空格、换行、BOM 头
TP6 若启用了全局 JSON 中间件，需在 notify 路由上显式禁用：->middleware(AllowCrossDomain::class)->except(['json']) 类似处理

最常被跳过的细节：微信回调不带 cookie，TP 默认 session_start() 会尝试创建新 session，导致文件锁阻塞或日志污染；notify 方法开头加 if (session_status() === PHP_SESSION_ACTIVE) { session_write_close(); } 更稳妥。