tp5.1接入paypal nvp/soap api需严格使用user/pwd/signature三元组签名认证，signature为后台生成的base64-like字符串，须原样url编码后参与字母序拼接与双重编码；常见失败因凭证混用、signature含不可见字符、时间戳偏差或缺失version=124.0所致。
TP5.1 项目接入 PayPal 支付接口，不走 PayPal 官方 SDK（v2 REST API），而是用传统 PayPal NVP/SOAP API（如 DoExpressCheckoutPayment）时，签名加密（Signature-based Authentication）是必须严格校验的环节。它和 OAuth、Client ID/Secret 不同，属于老一代但仍在部分跨境商户中使用的认证方式，需手动构造并签名请求。
签名加密的核心三要素
PayPal NVP 接口要求每次请求携带三个认证参数：USER、PWD、SIGNATURE。其中 SIGNATURE 是关键，由 PayPal 后台生成的「API 签名字符串」经 URL 编码后参与请求签名计算，不是你自己生成的密钥，也不能用 MD5/SHA 直接哈希。
- 登录 PayPal 商户后台 → 【Profile】→ 【API Access】→ 【Request API Signature】获取三元组（USER/PWD/SIGNATURE）
- SIGNATURE 是一长串含特殊字符（如
AiPC...）的 Base64-like 字符串，必须原样保留、URL 编码后传入（例如空格变 %20，+ 变 %2B） - 所有请求参数（包括 USER/PWD/SIGNATURE）需按字母升序拼接成 k=v&k=v 形式，再进行 URL 编码 + 请求体拼接，最后用
curl或file_get_contents发送 POST 到https://api-3t.paypal.com/nvp（沙箱为https://api-3t.sandbox.paypal.com/nvp）
TP5.1 中构造签名请求的实操要点
ThinkPHP 5.1 自带 think\Http 和 think\Url，但 NVP 协议对参数顺序、编码、签名无框架封装，需手动处理：
- 所有参数键名统一转小写（PayPal 要求），如
method=doexpresscheckoutpayment，不能大写 Method - 使用
urlencode()对每个 value 单独编码（不是对整个字符串 urlencode），再拼接&，例如：method=DoExpressCheckoutPayment&token=EC-xxx&payerid=P-xxx - 拼接完后，再对整个 query string 整体做一次
urlencode()（某些场景需双重编码，尤其含中文或特殊符号时） - 推荐封装一个
buildNvpString($params)方法：排序 → 小写键 → 单值 urlencode → join & → 最终 urlencode
常见签名失败原因与调试建议
返回 Security header is not valid 或 Invalid Security Header 多数不是签名算法错，而是格式细节出问题：
- USER/PWD/SIGNATURE 混用了沙箱和生产环境凭证（务必核对 API endpoint 和对应凭据）
- SIGNATURE 字符串里含换行或不可见空格（复制时容易带入，建议粘贴后 trim + str_replace(["\r","\n"," "], '', $sig)）
- 时间戳未同步：PayPal 要求请求时间与服务器时间误差 ≤ 15 分钟，TP5.1 中可用
date('Y-m-d\TH:i:s\Z')生成 UTC 时间戳（注意 Z 表示 UTC，非 +08:00） - 未设置
VERSION=124.0（当前兼容最低版本），且必须放在请求最前面（虽然非签名字段，但影响解析）
安全与合规提醒（跨境特别注意）
PayPal 对中国境内主体接入 NVP 接口已逐步收紧，2024 年起多数新注册账户不再提供 API Signature 选项，仅开放 REST v2。若你正在维护旧系统：
- 确认你的 PayPal 账户类型为 Business Account（企业账户），个人账户无法开通 API 权限
- 确保域名已完成 PayPal 的 Website Payments Preferences → Website Payment Certificate 绑定（否则回调可能被拒）
- 所有敏感参数（如 PWD、SIGNATURE）严禁硬编码或记录日志，建议存于 Env 配置（
.env）并设为只读 - 回调地址（
RETURNURL/CANCELURL）必须是 HTTPS，且域名与 PayPal 后台备案一致
