基于PHP微信开发框架的支付接口对接【详解】-php教程-PHP中文网

直接对接微信支付接口的关键在于理解其通信逻辑和安全要求，而非框架选型；必须正确配置appid、mchid、apiv3密钥、平台证书与私钥四项凭证，严格遵循金额单位为分、out_trade_no全局唯一、notify_url为备案https等规则，并使用官方sdk处理签名、证书及回调解密。

基于php微信开发框架的支付接口对接【详解】

直接对接微信支付接口，核心不在框架选型，而在理解微信的通信逻辑和安全要求。ThinkPHP、Laravel 或原生 PHP 都能实现，关键是要把签名、证书、回调验证这三件事做对。

必须提前配置的 4 项凭证

不拿到这四个值，代码写得再漂亮也调不通：

AppID：公众号或小程序的唯一身份标识，从微信公众平台后台获取
MCHID（商户号）：微信支付分配的 10 位纯数字编号，不是微信 ID，也不是 APPID
APIv3 密钥：32 位字符串，在商户平台「API 安全 → APIv3 密钥」中设置，不能泄露
平台证书与私钥：APIv3 接口强制要求双向证书校验，需下载微信平台证书（.pem），并用商户私钥（apiclient_key.pem）初始化客户端

统一下单是所有支付方式的起点

无论 JSAPI、APP 还是扫码支付，第一步都是调用 /v3/pay/transactions/jsapi（JSAPI）、/v3/pay/transactions/native（扫码）等下单接口。注意几个硬性规则：

企业微信智能办公助手

企业微信智能助手，自动汇总日程、会议、待办及团队数据，生成可视化早报。

下载

金额单位必须是分，不能传 0.01 或 float 类型；total_amount 字段是整数
out_trade_no 必须全局唯一，建议用时间戳+随机数生成，避免重复下单
notify_url 必须是 HTTPS 地址且已备案，微信只接受 200 响应，返回任何其他内容（包括空格、BOM 头）都会导致通知失败
请求头必须带 Authorization: WECHATPAY2-SHA256-RSA2048 签名，不能靠拼接参数 MD5 —— 这是 APIv3 和旧版 v2 的本质区别

回调通知处理不能只“收数据”

微信异步推送的不是普通 POST，而是带签名的加密通知。正确处理流程是：

用 file_get_contents('php://input') 获取原始 JSON 数据体
解析出 resource.encrypted_message、resource.nonce、resource.associated_data
用商户私钥 + 上述三字段 + 平台证书公钥，调用 AES-256-GCM 解密
解密后验证 result.pay_status 是否为 SUCCESS，再检查 out_trade_no 和金额是否匹配本地订单
成功处理后立即返回 {"code":"SUCCESS","message":"OK"}，且响应体不能含多余字符或换行

推荐使用官方 SDK 而非手写 cURL

微信官方 wechatpay/wechatpay SDK（Composer 包）已封装证书加载、自动刷新平台证书、签名生成与验签全流程。初始化示例：

use WeChatPay\Builder;
$client = Builder::factory([
    'mchid'       => '1900000109',
    'serial'      => 'A1B2C3D4E5F6...', // 商户证书序列号
    'privateKey'  => file_get_contents('/path/to/apiclient_key.pem'),
    'certs'       => [
        'A1B2C3D4E5F6...' => file_get_contents('/path/to/wechatpay_cert.pem')
    ]
]);

调用下单只需一行：$client->post('/v3/pay/transactions/jsapi', $payload);，省去手动构造 header、签名、解密等易错环节。