支付宝支付回调失败主因是验签失败，根源在于tp6自动解析破坏原始post数据结构；须用getrawbody()获取原始字符串并parse_str()手动解析，密钥需去除头尾标记和换行，notify_url必须为公网https无参地址，响应仅限纯文本success，订单更新需幂等校验。
ThinkPHP6 支付宝支付回调失败，最常见原因是 验签失败，而验签失败八成源于请求数据被框架自动解析破坏了原始结构。
中间件里读原始 POST 数据
支付宝异步通知发来的是原始 form 表单数据（key=value 形式），但 TP6 控制器默认调用 $request->post() 或 $request->param() 会触发自动解析和转义，导致参数顺序、空格、特殊字符变化，签名比对直接失败。
- 必须在中间件中用
$request->getRawBody()获取原始字符串 - 再用
parse_str($raw, $data)手动解析为数组，确保与支付宝发出的原始字段完全一致 - 验签时传入这个
$data，而不是经过框架处理过的任何参数数组
私钥与公钥格式要严格合规
EasySDK 要求密钥为无头尾、无换行的纯字符串，稍有偏差就会验签失败。
- 商户私钥：去掉
-----BEGIN RSA PRIVATE KEY-----和-----END RSA PRIVATE KEY-----，所有换行替换成空字符，合并成一行 - 支付宝公钥：同样去除头尾标记和换行；沙箱环境用沙箱公钥，正式环境换正式公钥，不能混用
- 建议将处理后的密钥存入配置文件或环境变量，避免硬编码出错
notify_url 必须满足硬性条件
支付宝对回调地址校验极严，不达标会直接拒绝推送或反复重试。
- 必须是公网可访问的 HTTPS 地址（如
https://api.example.com/pay/ali-notify） - URL 后不能带任何查询参数（
?a=1&b=2这类会被拒） - 本地开发可用 ngrok 或 frp 做内网穿透，但需确保穿透后地址稳定且证书可信
- 接口响应必须是纯文本
success（无空格、无换行、无 HTML 标签），返回 JSON 或 HTML 都会导致重复通知
订单状态更新要加幂等保护
支付宝可能因网络原因多次投递同一通知，若不做判断，会造成重复发货、重复扣减库存等问题。
- 收到通知先查数据库，确认该
out_trade_no对应订单是否已处理为“已支付” - 只当
trade_status是TRADE_SUCCESS或TRADE_FINISHED时才更新状态 - 建议用数据库唯一索引（如联合索引
out_trade_no + trade_status）或 Redis 锁辅助防重
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
