抖音企业号消息推送采用Webhook回调而非API拉取，需配置HTTPS回调地址并通过GET验证；消息以AES-256-CBC加密POST推送，解密须截取前16字节为IV、严格匹配PKCS#7填充；响应必须5秒内返回符合格式的XML，否则重试三次后中断。
抖音企业号消息推送不是“调用API”，而是「接收Webhook回调」
字节跳动企业号（含抖音、头条）的消息推送机制，压根不提供“主动拉取消息”的API。你不能用 file_get_contents() 或 curl 去轮询获取新消息——平台只支持单向 HTTP POST 推送，且必须满足：你的服务器有公网可访问的 HTTPS 地址、能正确响应验证请求、并按规范解析加密 payload。
- 首次接入必须在「抖音开放平台 → 企业号管理 → 消息服务」中填写
callback_url，平台会立即发起GET验证请求（带echostr、timestamp、nonce、signature四个参数） - 验证通过后，所有用户消息（文本、图片、菜单点击等）都会以
POST方式推送到该地址，Content-Type是application/json，但 body 是 AES-256-CBC 加密的 JSON 字符串 - 解密密钥
encoding_aes_key和token在平台配置页生成，**不可更改**；一旦填错或漏配，后续所有消息都静默丢弃，无错误日志、无重试、无告警
PHP 解密消息体时，OpenSSL 版本和填充方式必须严格匹配
抖音用的是标准 PKCS#7 填充 + AES-256-CBC，但 PHP 的 openssl_decrypt() 在不同版本行为不一致。低于 PHP 7.4 的环境容易因默认填充模式不匹配导致解密为空或乱码；PHP 8.1+ 则要求显式传入 OPENSSL_ZERO_PADDING 并手动补位，否则失败。
- 务必先 base64_decode(
$encrypted_msg)，再用openssl_decrypt($data, 'AES-256-CBC', $aes_key, OPENSSL_ZERO_PADDING, $iv) -
$iv是密文前 16 字节（非固定值！），需从解密前数据中截取 - 解密后得到的原始 XML 含
<encrypt></encrypt>标签，还需二次 XML 解析并校验MsgSignature—— 这一步漏掉，等于没做安全校验 - 常见错误现象：
bool(false)返回值、空字符串、或解析出Invalid signature错误
消息路由必须靠 MsgType 和 Event 字段分流，不能只看 URL 路径
所有消息都打到同一个 callback_url，区分逻辑全靠解析后的 XML 字段。比如用户发文本是 MsgType=text，点击菜单是 MsgType=event 且 Event=click，关注事件是 Event=subscribe。PHP 后端若没做分支判断，就只能处理一种类型。
- 别在
switch($_POST['MsgType'] ?? '')里直接写业务逻辑——XML 解析后才是数组，$_POST是空的 - 推荐先统一解密 + 简单 XML to array（可用
simplexml_load_string()+json_decode(json_encode(...), true)），再根据['MsgType']和['Event']分发到不同 handler - 注意：测试时用「开发者工具 → 模拟发送」功能，不要用微信/抖音客户端反复关注退出——平台对重复关注事件有频控，可能延迟推送甚至丢弃
回调响应超时或格式错误，会导致消息重推甚至中断订阅
抖音要求你的 callback_url 在 5 秒内返回 HTTP 200 + 明确的 XML 响应体（含 <xml><return_code></return_code></xml>）。任何超时、5xx、JSON 响应、空响应、或 XML 格式错误，都会触发重试（最多 3 次），之后停止推送，直到你修复并手动在平台「重新启用消息服务」。
立即学习“PHP免费学习笔记（深入）”；
- 别在回调里做耗时操作（如查库、发邮件、调第三方 API）——先记录原始加密内容到日志或 DB，再异步处理
- 响应头必须设
Content-Type: text/xml; charset=utf-8，否则平台认为失败 - 生产环境务必加
try/catch包裹整个解密和响应流程，任何未捕获异常 = HTTP 500 = 中断推送
$iv、响应没按 XML 格式写、以及把加密 payload 当成明文直接 json_decode。这三处一错，消息就进不了业务逻辑。 
