webman调用微信支付v3需严格使用wechatpay-php官方sdk，关键点为：正确配置pem证书与私钥路径、json序列化请求体、启用自动签名头、回调用verifyevent验签；常见错误包括401/400及ssl证书问题。
Webman 里调用微信支付 v3 接口的关键点
Webman 本身不内置支付 SDK，对接微信支付必须用官方推荐的 wechatpay-php 官方 SDK（v3），不能用过时的 v2 或自行拼签名。核心在于：证书、私钥、序列化请求体、自动签名头这四件事必须严格对齐。
常见错误现象：401 Unauthorized（签名失败）、400 Bad Request（body 未用 JSON 序列化或字段缺失）、curl error: SSL certificate problem（证书路径不对或 PEM 格式损坏）。
- 证书和密钥必须是 PEM 格式，且
apiclient_cert.pem和apiclient_key.pem需放在 Webman 可读目录（如config/cert/），路径传入时用绝对路径（realpath()更稳妥） - 请求 body 必须用
json_encode($data, JSON_UNESCAPED_UNICODE)，不能用http_build_query或数组直接 POST - SDK 初始化时，
HttpClient必须启用verify且指向证书路径，否则 HTTPS 请求会失败 - 回调地址验签必须用
wechatpay-php的verifyEvent方法，手动解析WECHATPAY-SIGNATURE头+时间戳+随机数极易出错
Webman 中处理支付宝 SDK 的实际写法
支付宝推荐用官方 alipay-sdk-php（注意不是社区魔改版），但它的 AlipayAopClient 默认依赖 curl + 全局配置，和 Webman 的协程模型有冲突——尤其在高并发下容易复用错误的 curl 句柄导致签名串扰。
正确做法是：每次请求都新建 AlipayAopClient 实例，并显式关闭 keepAlive；回调验签必须用 AlipaySignature::rsaCheckV1()，且传入的 $_POST 或原始 input stream 数据要原样保留（不能被框架自动 json_decode 或 trim）。
由于微信的大热，为了更好的方便使用微信的用户查询一些信息，这篇文章是入门级的微信公众平台开发教程，需要的朋友可以参考下 这篇入门教程将引导你完成如下任务： 创建百度云平台应用启用微信公众平台开发模式获取订阅、文字、图片、语音、视频消息回复文本、图文及音乐消息程序开发
- 公钥（
alipay_public_key）和应用私钥（app_private_key）必须是 PKCS#1 格式（以-----BEGIN RSA PRIVATE KEY-----开头），PKCS#8 会验签失败 - 异步通知接口必须关闭 Webman 的中间件自动 JSON 解析（如
JsonBodyParser），否则$_POST为空，只能靠file_get_contents('php://input')拿原始数据 - 同步返回（如扫码后跳转）的
return_url不需要验签，但需校验out_trade_no是否已存在，防止重复下单
支付回调在 Webman 中的路由与中间件陷阱
微信和支付宝回调都要求「不重定向、不输出多余字符、响应 200 纯文本」，而 Webman 默认的 Response 会带 Content-Type: text/html 或自动加换行，导致微信认为验签失败后反复重发。
- 回调路由必须用
on('POST', '/notify/wechat', [...])显式声明方法，不能依赖全局中间件自动转换请求方式 - 务必在回调逻辑开头加
ob_end_clean()并禁用所有输出缓冲，避免日志、debugbar、异常堆栈意外输出 - 响应必须是纯字符串
'success'（微信）或'success'（支付宝），不能用response()->raw('success')以外的方式，尤其不能用json(['msg' => 'ok']) - 支付宝回调的
charset参数可能为gbk，需先用mb_convert_encoding($_POST['subject'], 'UTF-8', $_POST['charset'])转码，否则中文订单标题乱码
本地调试支付回调的可行方案
微信/支付宝不支持 localhost 回调，但硬上公网域名+HTTPS 成本高，临时调试只能靠 ngrok 或 localtunnel，但它们会改变原始请求头（比如丢掉 WECHATPAY-SIGNATURE），导致验签失败。
真正能跑通的本地调试方式只有一种：把回调逻辑抽成独立 CLI 命令，用 curl 模拟真实请求体 + 所有 header，绕过 Webman 路由层直接触发业务逻辑。
- 写一个
php think pay:wechat-notify命令，读取本地保存的微信回调原始 payload 文件（含全部 header），手动构造Request对象传入业务方法 - 微信回调原始数据可从微信商户平台「开发配置 → API 安全 → 查看回调」下载，支付宝回调可从沙箱通知记录复制 raw body
- 不要依赖「转发到内网」工具，它们无法还原
WECHATPAY-TIMESTAMP和WECHATPAY-NONCE的精确值，验签必然失败
最易被忽略的是：微信 v3 回调的加密响应体（resource 字段）必须用平台证书解密，而该证书有效期 2 年且需定期轮换——很多线上故障就卡在没更新 wechatpay_certificate.pem。别等支付失败才查证书过期时间。
