ThinkPHP5微信小程序接口开发与数据返回教程-ThinkPHP-PHP中文网

tp5控制器必须用json()返回，不可直接echo json_encode()，否则缺失content-type头、破坏响应生命周期，导致小程序解析失败；正确写法为return json(['code'=>200,'msg'=>'ok','data'=>$user])。

thinkphp5微信小程序接口开发与数据返回教程

tp5控制器必须用`json()`返回，不能`echo json_encode()`

直接echo json_encode()会漏掉Content-Type头、破坏ThinkPHP的响应生命周期，小程序wx.request可能收不到完整响应或解析失败。TP5的json()方法自动设置application/json; charset=utf-8头，并触发输出过滤和事件钩子。

常见错误现象：wx.request的res.data为空、控制台报“SyntaxError: Unexpected end of JSON input”、响应体显示乱码。

正确写法：return json(['code' => 200, 'msg' => 'ok', 'data' => $user]);
错误写法：echo json_encode([...]); exit; 或 header('Content-Type:...'); echo json_encode(...);
若需自定义状态码（如401），用json($data, 401)，第二个参数是HTTP状态码，不是code字段

`jscode2session`接口调用必须用`http_send`或`think\Http`，别手写`curl_init`

微信https://api.weixin.qq.com/sns/jscode2session返回的是标准JSON，但对SSL证书校验严格。TP5自带的think\Http类已处理CA证书路径、超时、重定向等细节；手写curl_init容易忽略CURLOPT_SSL_VERIFYPEER和CURLOPT_SSL_VERIFYHOST设为false导致请求失败（尤其在CentOS/宝塔环境下）。

使用场景：用户登录时传入code，换取openid、session_key、unionid（若绑定开放平台）。

推荐封装一个WxService::jscode2session($code)，内部调用think\Http::connect()->get($url)
务必检查返回值是否含errcode字段——微信出错时不返回HTTP 4xx/5xx，而是200+JSON内带errcode（如-1网络错误、40029 code无效）
不要把appsecret硬编码在控制器里，应从config/wechat.php读取

小程序支付预下单返回参数必须原样透传给`wx.requestPayment`

TP5后端调用微信统一下单接口unifiedorder拿到预支付交易会话标识prepay_id后，需按微信文档要求生成timeStamp、nonceStr、package、signType、paySign五个字段，**全部小驼峰命名**，且package值必须是prepay_id=xxx字符串（不是数组、不是JSON）。

微信公众号自动发布增强版

一键发布 Markdown/HTML 文章至微信公众号草稿箱，支持自动配图、排版美化、UTF‑8编码

下载

常见错误现象：小程序点击支付无反应、提示“支付验证失败”、控制台报“invalid signature”。

timeStamp必须是字符串类型的时间戳（(string)time()），不是整数
paySign签名时，参与签名的字段顺序必须严格按文档：appId、timeStamp、nonceStr、package、signType（注意大小写）
签名密钥是商户API密钥（key），不是appsecret，且不能含空格或换行
返回给前端的结构必须扁平，例如：json(['timeStamp' => ..., 'nonceStr' => ..., 'package' => ..., 'signType' => 'MD5', 'paySign' => ...])

跨域问题在TP5里靠`header`临时解决不靠谱，要用`Cors`行为或中间件

小程序wx.request默认走HTTPS且校验域名白名单，但开发阶段常在本地调试，此时服务端若没正确返回Access-Control-Allow-Origin等头，请求直接被浏览器拦截（即使TP5返回了数据，前端也收不到）。

TP5.1没有内置CORS中间件，但可用行为（Behavior）或手动注册中间件。硬加header("Access-Control-Allow-Origin: *")有安全隐患且不支持凭证（如Cookie）。

推荐方案：在app/tags.php中注册app\behavior\Cors行为，在app\behavior\Cors.php里统一设置Access-Control-Allow-Origin、Access-Control-Allow-Headers、Access-Control-Allow-Methods
若需携带Cookie，Access-Control-Allow-Origin不能为*，必须指定具体域名（如https://dev.example.com），且前端wx.request要设withCredentials: true
OPTIONS预检请求必须返回200，且不执行业务逻辑——行为或中间件里对request()->isOptions()直接return json([])