在Yii2.0.55中完成支付宝对接需严格遵循三步：沙箱环境调通、SDK类正确加载、notify_url验签通过且仅由异步回调更新订单状态；密钥配置须用PKCS#8格式私钥和支付宝公钥；SDK命名空间需统一修正；notify_url必须用php://input原始数据验签，return_url不可用于状态判断。
在Yii2.0.55中完成支付宝在线交易支付对接，需确保沙箱环境可调通、SDK类能正确加载、notify_url验签通过且订单状态仅由异步回调更新——跳过这三步中的任意一步，支付结果将不可信或直接失败。
准备支付宝密钥与沙箱配置
登录支付宝开放平台→进入「开发者中心」→点击「沙箱环境」→在「沙箱应用」页复制APPID；点击「设置密钥」→下载「支付宝密钥生成工具」→运行后选择RSA2、2048位生成密钥对→将生成的【商户私钥（PKCS#8格式）】填入配置，同时把弹窗中显示的【支付宝公钥（非你自己的公钥）】完整粘贴进「沙箱设置→公钥」栏并保存。
注意：若此处填错为“你的公钥”或“未转换为PKCS#8的私钥”，后续所有验签必然失败，且错误日志不提示具体原因。
放置并修正SDK命名空间
方法一：推荐放vendor目录统一管理
下载官方PHP SDK（alipay-aop-sdk-php），解压后将AopClient.php、AopEncrypt.php、AlipayTradeAppPayRequest.php等核心文件放入vendor/alipay/aop/；逐个打开这些文件，将顶部namespace统一改为alipay\aop;（末尾分号不可少）；在config/web.php中添加别名：Yii::setAlias('@alipay', '@vendor/alipay/aop');。
方法二：若坚持放@common/components/alipay下
必须同步修改所有文件命名空间为app\components\alipay;，并在控制器开头用require_once按顺序引入：AlipayCore.php → AlipaySignature.php → AlipayTradeService.php；【切勿依赖Yii自动加载】，否则类找不到。
编写支付发起逻辑
第一步：在OrderController中定义actionPay
第二步：组装业务参数，用json_encode包裹，字段含subject、out_trade_no、total_amount（单位元，保留两位小数）、product_code（如QUICK_MSECURITY_PAY）
第三步：实例化AopClient，设置gatewayUrl（沙箱用https://openapi.alipaydev.com/gateway.do）、appId、rsaPrivateKey、alipayrsaPublicKey、signType（固定RSA2）
第四步：new AlipayTradeAppPayRequest() → setNotifyUrl(公网可访问的/notify) → setBizContent(上步JSON字符串) → 调用sdkExecute()
第五步：直接echo $response，前端App收到的就是orderString，无需JSON封装或额外转义。
处理notify_url异步回调
创建NotifyController.php，其actionIndex方法必须满足三个硬性条件：
① 第一行就执行$rawData = file_get_contents('php://input');，任何$_POST、$_GET、$request->post()调用都必须在此之后；
② 验签时传入的原始数据必须是$rawData，不能拼接$_POST数组；
③ 验签使用的公钥必须是alipay_public_key（即你在沙箱里上传后支付宝生成的那串），不是merchant_private_key，也不是你自己导出的public key。
验签通过后，解析$rawData为关联数组，检查trade_status === 'TRADE_SUCCESS'，然后更新本地订单状态；最后输出success（纯文本，无空格无换行无HTML）。
禁用return_url做状态判断
return_url只用于前端跳转展示，例如跳到/pay/success?out_trade_no=xxx&trade_status=TRADE_SUCCESS；
该URL中所有参数均可被用户篡改，【trade_status字段在return_url中完全不可信】；
若在此处更新订单状态，将导致未付款却标记为已支付的安全漏洞。
