微信公众号消息推送发不出去，主因是配置错误而非代码问题：服务器配置未启用、url/token/encodingaeskey不一致、服务器非公网可访问；签名需按字典序拼接token+timestamp+nonce后sha1，解密须用43位base64 encodingaeskey；响应必须http 200且纯xml无bom空格。
微信公众号消息推送为什么发不出去？
多数人卡在第一步：不是代码写错了，而是配置没对。公众号后台的 服务器配置 必须启用且 URL、Token、EncodingAESKey 与后端完全一致；同时要确保服务器能被微信服务器访问（不能是本地 127.0.0.1 或内网 IP）。
常见错误现象：验证 token 失败、收到消息但无响应、用户发送后公众号不回复。本质是签名逻辑或加解密环节出错。
- 用
sha1()拼接token+timestamp+nonce，顺序不能错，且未对原始数据做sort()排序（微信要求字典序） - 解密
EncryptMsg时，必须使用EncodingAESKey（注意是 43 位 Base64 字符串，不是明文密钥）和AppId构造 AES-128-CBC 解密器 - 响应消息 XML 必须返回
HTTP/1.1 200 OK，且 body 内容为纯 XML（不能带 BOM、空格、调试输出）
PHP 怎么安全地调用微信模板消息接口？
微信已停用普通订阅号的模板消息（仅服务号可用），且必须提前在后台「模板库」中选用并获得 template_id。调用前需拿到用户 openid，且该用户 7 天内与公众号有交互（否则报错 errcode: 43101）。
关键点不在请求本身，而在凭证管理——access_token 有效期 2 小时，必须缓存并自动刷新，不能每次请求都重新获取。
- 用
curl_init()发 POST 请求到https://api.weixin.qq.com/cgi-bin/message/template/send - POST 数据必须是 JSON 格式，
data字段里每个字段需含value和可选的color，不能漏掉first/remark等预设字段名 - 响应中若出现
errcode: 40003，说明openid错了；errcode: 48002表示用户拒绝接收消息（需引导重新关注或点击菜单触发）
微信 JSAPI 支付在 PHP 后端怎么生成统一下单参数？
支付失败最常见的原因是 sign 签名不一致——不是算法错，而是参与签名的字段漏了、多了、顺序乱了、值没 trim 或 urlencode 过度。
统一下单接口 https://api.mch.weixin.qq.com/pay/unifiedorder 要求所有参数按字典序拼接成 key=value&key=value&key=...，末尾加 &key=YOUR_KEY 后再 strtoupper(md5())。
- 必填字段包括：
appid、mch_id、nonce_str（随机字符串，不能含特殊字符）、body、out_trade_no（需业务系统唯一）、total_fee（单位：分，整数）、spbill_create_ip（必须是真实客户端 IP，不能是服务器内网地址）、notify_url（必须是公网可访问的 HTTPS 地址） -
trade_type设为JSAPI，且下单时必须传openid（从js_code换取，不是网页授权的 openid） - 返回的
prepay_id需再次签名生成paySign，其中timeStamp是秒级时间戳（不是毫秒），nonceStr要和下单时一致
支付回调 notify_url 怎么避免重复处理和验签失败？
微信服务器会多次重试回调，且只认你返回的 <xml><return_code>SUCCESS</return_code><return_msg>OK</return_msg></xml>。任何其他输出（如 var_dump、echo、BOM、空格）都会导致微信认为失败并持续重推。
验签不是简单比对 sign 字段，而是要把除 sign 外的所有字段按字典序拼接后，用商户 API 密钥再算一次 MD5。
- 先用
file_get_contents("php://input")读取原始 XML，再用simplexml_load_string()解析，避免 SimpleXML 加载失败时静默失败 - 解析后过滤掉空值字段，
array_filter($data, 'strlen')比!empty()更稳妥（防止 "0" 被误滤） - 数据库更新订单状态前，先用
SELECT ... FOR UPDATE或 Redis 锁保证幂等；更新成功后再返回 SUCCESS 响应
errcode 不是 HTTP 状态码，而是嵌套在 JSON 或 XML 里的业务码；而日志里看不到的 BOM、空格、IP 伪造、Token 过期，才是真正在线上反复出问题的根因。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
