ThinkPHP支付接口开发实战-ThinkPHP-PHP中文网

支付宝和微信支付在thinkphp中需攻克密钥加载、签名验签、回调接收三关：tp6需手动补全sdk命名空间并规范路径；微信v3验签须正确提取header、处理证书路径、返回空200响应；支付宝notify_url要求备案https、标准路由入口及校准时钟。

thinkphp支付接口开发实战

支付宝和微信支付在 ThinkPHP 中不是「配好就能用」，而是要先过三关：密钥加载失败、签名验签不通过、回调地址收不到通知。这三类问题占了线上支付故障的 80% 以上。

官方 SDK 的 AopClient.php 和 AlipayTradePagePayRequest.php 默认无命名空间，直接 use 会报 Class not found。必须手动补全：

在 AopClient.php 文件首行加 namespace aop;
在 AlipayTradePagePayRequest.php 首行加 namespace aop\request;
把整个 SDK 放进 app/extend/alipay 或 vendor/alipay，别塞进 Library/Vendor —— TP6 已弃用该路径
composer dump-autoload -o 后仍报错？检查文件权限，Linux 下常见因 .php 文件被当成文本而非可执行资源导致自动加载失败

收到 notify 请求却始终返回 401 或空响应，大概率卡在这几个地方：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

wechatpay-serial 头未提取：微信 V3 回调必带该 header，漏读就无法匹配平台证书，$_SERVER['HTTP_WECHATPAY_SERIAL'] 要原样保留，不能被 Nginx 或 Apache 自动转成大写或下划线
证书缓存路径写死：file_get_contents($certPath) 若路径含中文或相对路径（如 ./cert/wechatpay.pem），TP6 的 app()->getRootPath() 返回值末尾是否带斜杠会影响拼接，建议显式用 rtrim(app()->getRootPath(), '/').'/cert/...'
响应体必须为空且状态码为 200：哪怕只多一个换行、一个空格、一个 BOM，微信都会判定验签失败并重试；不要用 echo ''，改用 http_response_code(200); exit;

前端跳转成功、return_url 正常，但订单状态一直「待支付」，notify_url 日志完全空白，常见于：

域名未备案或 HTTPS 未生效：支付宝强制要求 notify_url 必须是已备案的 HTTPS 域名，HTTP 或自签名证书会静默丢弃请求
入口文件非标准路径：ThinkPHP6 默认路由入口是 public/index.php，若你把 notify_url 设为 https://xxx.com/api/pay/ali_notify，但没在路由定义中显式绑定该 URL 到控制器方法，Nginx/Apache 就会 404，支付宝不报错也不重试
防火墙拦截 POST：部分云厂商安全组默认屏蔽非常规端口或限制 POST body > 1MB，而支付宝通知体虽小，但某些 WAF 会按 UA 或请求头特征拦截，可在日志里查 "alipay" in $user_agent 是否被干掉

最易被忽略的是：支付宝和微信对「时间戳」的容忍窗口不同——支付宝要求服务器时间误差 ≤ 15 分钟，微信 V3 要求 ≤ 5 分钟，且两者都以自身服务器时间为基准。一旦你的服务器时钟漂移超限，签名永远算不对，所有请求都会卡在第一步。