调用支付宝网页支付前必须确认三件事：一是App ID须为开放平台创建的已上线“网页应用”且开通网关支付；二是私钥须为OpenSSL生成的PKCS#1格式RSA2应用私钥；三是notify_url必须为公网可访问的HTTPS地址。
支付宝网页支付接口调用前必须确认的 3 件事
PHP 集成支付宝网页支付不是“填好参数就能跑通”，很多失败卡在前期准备。最常踩的坑是：以为签名对了就万事大吉，结果 invalid app_id 或 invalid sign 一直报错，其实根本没过支付宝开放平台的校验关。
- App ID 必须来自「支付宝开放平台」创建的「网页应用」，不是「小程序」或「移动应用」的 App ID；后台要确保该应用已上线且「网关支付」功能已开通
- 私钥必须用「应用私钥（PKCS#1）」，不是「支付宝公钥」或「应用公钥证书」；生成方式必须用 OpenSSL 命令行导出，不能用在线工具或某些 SDK 自带的“一键生成”（容易格式错乱）
- 回调地址（
notify_url）必须是公网可访问、支持 HTTPS 的域名，本地localhost或内网 IP 直接被支付宝拒绝，连请求都发不过来
alipay.trade.page.pay 接口怎么拼参才不被拒
这个接口返回的是一个跳转用的 HTML 表单，不是 JSON。很多人直接 json_encode 返回，或者把参数塞进 GET 请求里，结果支付宝页面提示「参数错误」——因为参数必须按规则排序、签名、再 POST 到指定网关。
- 所有业务参数（如
out_trade_no、total_amount、subject）必须放在biz_content字段里，且作为 JSON 字符串传入，不能展开平铺 - 签名前必须对全部非空参数（包括
app_id、method、charset、sign_type、timestamp、version、biz_content等）做字典序升序排列，再拼接成key=value字符串（value 要 URL 编码） -
sign_type必须设为RSA2（别用RSA），对应私钥也必须是 2048 位的 RSA2 私钥；否则支付宝会返回sign check fail
示例关键字段构造：
['app_id' => '2021000123456789', 'method' => 'alipay.trade.page.pay', 'format' => 'JSON', 'charset' => 'utf-8', 'sign_type' => 'RSA2', 'timestamp' => date('Y-m-d H:i:s'), 'version' => '1.0', 'notify_url' => 'https://your.com/alipay/notify.php', 'return_url' => 'https://your.com/alipay/return.php', 'biz_content' => json_encode(['out_trade_no' => 'ORD20240520001', 'product_code' => 'FAST_INSTANT_TRADE_PAY', 'total_amount' => '99.00', 'subject' => '会员年费'], JSON_UNESCAPED_UNICODE)]
notify_url 和 return_url 的本质区别与验证逻辑
很多人把两个地址写成同一个 PHP 文件，结果发现 return_url 能看到页面但订单状态没更新，而 notify_url 根本没被触发——这是混淆了「用户浏览器跳转」和「支付宝服务器主动回调」两种机制。
立即学习“PHP免费学习笔记（深入）”；
-
return_url是用户付款完成后，支付宝前端跳转回你的页面，**不可信**：用户可能中途关闭、手动修改 URL 参数、甚至伪造请求。它只适合做展示，**不能用来更新订单状态** -
notify_url是支付宝服务器向你后端发起的 POST 请求，含完整签名和业务数据。你必须用支付宝公钥验签，并检查trade_status是否为TRADE_SUCCESS或TRADE_FINISHED，只有这时才能安全地更新数据库 - 验签前务必先读取原始 POST 数据：
file_get_contents('php://input')，而不是直接用$_POST（支付宝发的是 form-data，但部分环境会自动解析失败）
验签失败的 3 个隐蔽原因
明明用了官方文档里的公钥，openssl_verify 却始终返回 0。问题往往不在代码逻辑，而在密钥或数据处理的细节上。
- 支付宝公钥内容必须以
-----BEGIN PUBLIC KEY-----开头、-----END PUBLIC KEY-----结尾，且每行 64 字符；复制时多一个空格、少一个换行、或用了 Windows 换行符（\r\n），都会导致 PEM 解析失败 - 验签用的原文必须是支付宝回调 POST 中的全部待签名参数（去掉
sign和sign_type后）按字典序拼接的字符串，且每个 value 必须经过urlencode—— 注意不是rawurlencode，否则空格变成+而不是%20 - 支付宝回调可能带 BOM 头，
file_get_contents('php://input')读出来开头多了 \xEF\xBB\xBF，会导致验签原文错位；建议用ltrim($data, "\xEF\xBB\xBF")清理
复杂点在于：验签失败时支付宝不会告诉你哪一步错了，只能靠日志逐段比对原文、签名、公钥格式。最容易被忽略的是——你用的公钥，是不是从「开放平台 → 应用详情 → 开发信息 → 支付宝公钥」里复制的，而不是「应用公钥证书」里的内容。
