tp5.1无法直接使用支付宝旧版sdk是因为其无命名空间、不兼容psr-4，需手动添加namespace、修正类路径并配置loader；签名必须用rsa2、pkcs#8私钥；异步验签需严格过滤、排序、原样拼接参数且禁用输出。
TP5.1 接入支付宝旧版接口（RSA1/RSA2）完全可行，但必须手动处理签名和验签逻辑，官方 SDK 不再维护，AopClient 类需自行补全命名空间与依赖路径，否则 ClassNotFoundException 会直接报错。
为什么 TP5.1 用不了官方旧版 SDK 直接 require？
旧版支付宝 PHP SDK（如 alipay.trade.page.pay-PHP-UTF-8.zip）是纯函数式结构，没有 PSR-4 命名空间，也不兼容 Composer 自动加载。TP5.1 的 extend 目录虽支持手动引入，但所有类（如 AopClient、AlipayTradePagePayRequest）默认在全局命名空间，而 TP5.1 的自动加载机制会尝试从 app\ 或 think\ 下找类 —— 结果就是找不到。
- 必须给每个 SDK 类文件顶部加
namespace Alipay\aop;（或你自定义的命名空间，如extend\Alipay\aop） -
AopClient.php里引用的request、response类路径要同步改成带命名空间的写法，例如new \Alipay\aop\request\AlipayTradePagePayRequest() - TP5.1 中不能用
import()（TP5.0 语法），改用Loader::addNamespace()或直接require_once+new \Alipay\aop\AopClient()
签名加密用 RSA1 还是 RSA2？怎么配才不被拒签
支付宝早在 2020 年起就强制要求新应用使用 RSA2，旧应用迁移也逐步收紧。TP5.1 项目若仍用 RSA1，大概率在调用 alipay.trade.page.pay 时返回 sign_error 或直接 400。
-
sign_type必须设为"RSA2"（字符串，不是常量），且大小写敏感 - 私钥必须是 PKCS#8 格式（非 PKCS#1），可用 OpenSSL 转换：
openssl pkcs8 -topk8 -inform PEM -in rsa_private_key.pem -outform PEM -nocrypt > rsa_private_key_pkcs8.pem -
merchant_private_key配置项填的是**商户私钥内容**（含-----BEGIN PRIVATE KEY-----），不是文件路径；alipay_public_key同理，填支付宝公钥字符串，不是证书文件 - 密钥对必须用支付宝沙箱「密钥管理」页生成的工具生成，自己用 openssl 生成的私钥即使格式对，也可能因填充方式/摘要算法不匹配导致验签失败
异步回调验签总失败？关键在三个地方
支付宝异步通知（notify_url）POST 过来的数据不含 sign 字段本身，但验签时必须剔除 sign 和 sign_type，再按 key ASCII 升序拼接 —— 很多人漏掉排序或没过滤干净。
- 接收参数必须用
$_POST（不是input('post.')），因为 TP5.1 的 input 方法会对特殊字符转义，破坏原始签名原文 - 验签前先做
array_filter($_POST, function($k) { return $k !== 'sign' && $k !== 'sign_type'; }, ARRAY_FILTER_USE_KEY)，再ksort() - 拼接字符串时，value 必须原样使用（不 urldecode、不 trim），例如
body=测试&subject=订单，中间无空格、无换行 - 验签方法别硬套 demo 里的
$alipaySevice->check()—— 旧版 SDK 的这个方法内部用了过时的openssl_verify参数顺序，建议直接用AopClient::rsaCheckV1()，传入$_POST、$alipay_public_key、$_POST['sign_type']
回调地址无法访问或收不到通知？检查这几个硬性条件
支付宝服务器只认公网可访问、HTTPS（生产环境强制）、且响应 200 的 notify_url。本地开发时，http://localhost 或内网地址必然失败。
- 沙箱调试阶段，用
ngrok或localtunnel映射出临时 HTTPS 地址（如https://xxx.ngrok.io/alipay/notify） - TP5.1 控制器方法里不能有输出（echo/print_r/var_dump），哪怕一个空格都会导致验签失败，支付宝认为响应体异常
- 回调入口必须关闭 CSRF 验证（
__token__等中间件），否则 405 或 403 - 日志写入路径（
log_path）要确保目录存在且 web 用户有写权限，否则验签失败时连错误都看不到
旧版接口最麻烦的不是代码，而是密钥格式、参数排序、HTTP 响应规范这些“看不见”的细节。一个 ksort() 没调用，或一行 echo 'success'; 多写了，整个支付链路就卡死在回调环节，而且支付宝不会告诉你具体哪错了。
