thinkphp商城接入支付宝与微信支付需稳住参数配置、请求发出、回调验签三关；二者签名机制与数据格式不同，不可复用代码；推荐使用yansongda/pay，支持tp6原生集成，配置统一、发起支付与验签简洁可靠。
在 ThinkPHP 搭建在线商城时，支付宝与微信支付不是“接上就行”，而是要稳住三关：参数配对、请求发出、回调验签。两者流程相似，但签名机制、数据格式、证书处理完全不同，不能复用同一套代码，也不能靠“差不多”蒙混过关。
选对 SDK，少踩 80% 的坑
官方 SDK（alipay/easysdk、wechatpay/wechatpay）权威但落地吃力：
- 支付宝 EasySDK 默认不兼容 TP6 容器，需手动 new 实例，配置分散难维护
-
微信 SDK 强依赖 Guzzle 中间件注册，而 TP6 的
think\facade\Http不支持其钩子机制 - 两者都不内置日志、异常捕获、环境变量加载逻辑，每处都要自己补胶水代码
推荐直接使用 yansongda/pay —— 它专为 PHP 框架设计，已原生支持 TP6：
- 安装只需一行：
composer require yansongda/pay - 配置统一写在
config/pay.php，支持env('ALIPAY_APP_ID')动态加载 - 发起支付一行搞定：
Pay::alipay($config)->page($order)，返回完整 HTML 表单，echo即跳转 - 验签封装进
$pay->verify()，自动过滤 sign 字段、排序、验 RSA2 或 v3 签名，不用手撕 XML 或拼 header
关键参数必须一次配准
支付宝和微信的配置项看似雷同，但含义和用途差异极大，填错一个就卡死：
-
支付宝：需要
app_id（你应用的 ID）、private_key（你的 RSA 私钥，用于签名）、public_key（支付宝公钥，用于验签），三者缺一不可；notify_url必须是可公网访问的 HTTPS 地址（沙箱环境除外） -
微信：需要
mch_id（商户号）、key（API v3 密钥，32 位随机字符串）、cert_path和key_path（平台证书及商户私钥路径），且证书需定期更新；appid必须与调起支付的公众号/小程序一致
注意：public_key 不是你生成的公钥，也不是应用公钥，而是从支付宝开放平台下载的“支付宝公钥”，格式必须含 -----BEGIN PUBLIC KEY----- 头尾，无空格换行；微信平台证书需用 OpenSSL 转换为 PEM 格式后才能被 SDK 正确加载。
回调验签：90% 的失败都出在这里
支付成功后，平台会向你的 notify_url 发送异步通知。这个环节最容易因细节偏差导致验签失败，返回空或 fail：
-
支付宝：必须用
file_get_contents('php://input')获取原始 POST 流，绝不能用$_POST——它已被自动 urldecode，签名比对必然失败；验签前需剔除sign和sign_type字段，并按 key 字典序拼接其余参数 -
微信：v3 接口不校验请求体内容，而是验证 HTTP Header 中的
Wechatpay-Signature和Wechatpay-Timestamp；若还在用老方式解析 XML + 手动拼串，100% 报 “签名错误” - TP6 若启用了全局 JSON 解析中间件（如自动解析
php://input），会导致原始流被提前读取，verify()拿不到数据——务必在支付回调路由上禁用该中间件
订单状态更新必须幂等
回调通知可能重复发送（网络超时重试），不能简单“收到就改状态”。正确做法是：
- 验签通过后，先查数据库确认该订单是否已支付成功，避免重复发货或扣库存
- 使用数据库唯一约束或 Redis 锁控制并发，确保同一笔订单只处理一次
- 回调处理完成必须返回明确响应：
success（支付宝）或 HTTP 200（微信），否则平台会持续重发 - 建议记录完整原始通知日志（含时间、IP、原始 body、验签结果），便于对账与排查
不复杂但容易忽略。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
