PHP可做微信小程序后台，但需严格遵循微信鉴权、加密和接口规范：正确处理code2Session获取的session_key（不缓存、每次解密用对应iv）、实时解密encryptedData、合理管理access_token有效期、适配wx.uploadFile的文件接收方式。
PHP 完全可以做微信小程序后台，但“教程式开发”容易踩坑——核心不是写 PHP，而是正确对接微信的鉴权、数据加密和接口规范。
微信登录态校验：别直接用 code2Session 返回的 session_key 解密用户数据
小程序调用 wx.login() 获取 code 后，PHP 后端需用该 code 向微信接口 https://api.weixin.qq.com/sns/jscode2session 换取 openid、session_key 和（可能的）unionid。关键点在于：
-
session_key是临时密钥，不能存库、不能复用，每次登录都不同 - 解密
encryptedData（如用户手机号、昵称）必须用当前次请求对应的session_key+iv，且需校验signature防篡改 - 微信返回的
session_key是 base64 编码字符串，PHP 中需先base64_decode()再用于 AES-128-CBC 解密 - 解密失败常见原因：
iv未 base64_decode、session_key被缓存复用、填充方式不匹配（必须 PKCS7）
获取用户手机号：getPhoneNumber 回调里的 encryptedData 必须实时解密
前端调用 button.open-type="getPhoneNumber" 触发授权后，会传回 encryptedData 和 iv。PHP 后端不能把这组数据攒起来批量处理：
- 必须立刻用本次登录生成的
session_key解密，延迟几秒就可能因session_key失效而失败 - 解密后得到的是 JSON 字符串，含
phoneNumber、purePhoneNumber、countryCode等字段，注意判断phoneNumber是否为 null（用户拒绝授权时为空） - 微信不返回明文手机号，只返回加密后数据，没有“绕过解密直接查库”的捷径
发送模板消息：POST /cgi-bin/message/subscribe/send 的 access_token 管理是难点
调用微信订阅消息接口前，必须持有有效的 access_token，但它有 2 小时有效期且调用频次受限：
立即学习“PHP免费学习笔记（深入）”；
- 不能每次请求都去拉一次
access_token，应本地缓存并记录过期时间（微信返回expires_in字段） - 推荐用文件或 Redis 存储
access_token+expires_at时间戳，每次调用前先判断是否过期 - 请求体必须是 JSON 格式，
data字段里的每个字段值需为{"value": "xxx"}结构，少一层就会报错errcode: 41023 - 模板 ID 必须在小程序后台手动申请并通过审核，
page字段要写相对路径（如"pages/order/detail?id=123"），不能带域名
PHP 文件上传接收：小程序的 wx.uploadFile 不走 $_FILES 常规流程
小程序调用 wx.uploadFile 时，文件二进制流是通过 POST body 直接发送的，不是标准 multipart 表单，所以 $_FILES 为空：
- 需用
file_get_contents('php://input')读取原始输入流 - 若前端设置了
name（如name: 'file'），微信服务器会自动包装成 multipart，此时才可用$_FILES['file']—— 但必须确认小程序 SDK 版本和后端 Nginx/Apache 配置支持大文件及 multipart 解析 - 更稳妥做法：前端传 Base64 编码字符串（适合小图），后端
base64_decode()后用file_put_contents()保存；大文件务必走php://input+ 流式处理 - Nginx 需检查
client_max_body_size和fastcgi_read_timeout，否则上传中途断连不报错，只返回空响应
真正卡住人的往往不是语法，而是微信接口对时序、签名、密钥生命周期的隐性要求——比如 session_key 用错一次，整条用户数据链就不可逆失效；access_token 多取一次，可能触发频率封禁。这些细节不会写在 PHP 手册里，得从微信文档的错误码和字段说明里抠出来。
