Iris框架不内置支付功能，需手动集成第三方SDK并规范处理签名、回调、日志和状态更新；支付宝验签失败主因是未剔除sign字段、参数解析失真及公钥加载失败；微信V3回调须JSON解析并校验平台证书；支付跳转应返回HTML form自动提交而非重定向；所有回调接口必须禁用CSRF及鉴权中间件。
Iris 框架本身不内置支付能力，但能干净利落地集成第三方支付 SDK——关键不在框架，而在你如何组织签名、回调、日志和状态更新这四件事。
为什么 Iris 不像 Laravel 那样有现成的 pay 包
Iris 是轻量级 HTTP 框架，设计哲学是“不封装业务逻辑”，所以没有 overtrue/laravel-pay 或 yansongda/pay 这类开箱即用的支付包。你得自己调用 SDK 或直接拼 API。好处是控制力强、无隐藏行为；坏处是验签、重放、幂等这些细节全得手写。
常见做法是：用官方 SDK（如支付宝 PHP SDK）或通用库（如 alipay-sdk-php）做底层通信，再用 Iris 的 Post 路由 + Context 封装回调处理逻辑。
支付宝 notify_url 验签失败的三个高频原因
在 Iris 中写异步通知接口时，notify_url 返回 success 却被支付宝反复推送，基本逃不开以下三点：
- 没过滤掉
sign和sign_type字段就参与验签 —— 必须用context.FormValue()逐个取值后剔除这两个键，再按字典序拼接 - 用了
context.PostForm直接转 map，但支付宝通知参数里可能含空格、换行或中文，导致原始字符串和拼接后不一致 - 公钥加载失败：
openssl_pkey_get_public(file_get_contents(返回 false，但没检查返回值就继续调用ALIPAY_PUBLIC_KEY_PATH))openssl_verify
建议把验签逻辑抽成独立函数，传入 context.Request().URL.Query()（GET）或 context.Request().PostForm（POST），并加 log.Printf("alipay notify raw: %v", rawString) 打印原始拼接串用于比对。
微信支付 V3 回调必须用 JSON 解析且校验平台证书
微信支付 V3 的 notify_url 是 POST JSON，不是表单。Iris 默认不自动解析 JSON body，需手动调用：
var payload map[string]interface{}
err := ctx.ReadJSON(&payload)
if err != nil {
ctx.StatusCode(400)
return
}
更关键的是：V3 回调头部带 Wechatpay-Serial、Wechatpay-Signature、Wechatpay-Timestamp、Wechatpay-Nonce 四个字段，必须全部提取并参与验签。平台证书不能硬编码，得定期从 https://api.mch.weixin.qq.com/v3/certificates 拉取并缓存，否则会报 “无可用的平台证书”。
微信 V3 的验签逻辑比支付宝复杂得多，别图省事自己写 —— 直接用官方 wechatpay-php SDK 的 Verifier 类，传入证书路径和请求头即可。
支付发起跳转不能靠重定向，得用 form 提交
支付宝电脑网站支付（alipay.trade.page.pay）和微信 H5 支付（unifiedorder）都要求前端渲染一个隐藏 form 并自动 submit，而不是 ctx.Redirect。因为：
- 支付宝要求所有参数走 POST，且
subject、total_amount等字段不能 URL 编码后再拼进 redirect URL - 微信 H5 的
redirect_url是预支付返回的mweb_url，它本身已是跳转地址，但首次唤起需携带bank_type等参数，也得靠 form
正确做法：在 Iris 控制器中生成完整 HTML 字符串（含 ），用 ctx.HTML() 返回，浏览器自动提交。别试图用 ctx.JSON 返回参数让前端再拼 —— 容易漏签名或错编码。
最易被忽略的一点：所有支付回调入口（无论支付宝 notify、微信 notify 还是退款回调）必须关闭 Iris 的 CSRF 中间件，且不能套任何身份验证中间件 —— 支付平台服务器不会带 session cookie 或 token。
