微信支付回调不能用ThinkPHP默认路由，因其要求无重定向、无session、无CSRF、不走中间件的裸响应；必须用闭包路由+removeMiddleware()禁用所有中间件，手动读php://input解析XML并严格按规则验签，最后返回指定格式SUCCESS XML。
微信支付回调为什么不能直接用 ThinkPHP 默认路由
因为微信服务器只认固定路径（比如 /pay/notify），且要求必须是 **无重定向、无 session、无 CSRF 验证、不走中间件拦截** 的裸响应。ThinkPHP 默认的路由和中间件栈（尤其是 VerifyToken、SessionMiddleware）会拦掉或污染原始 XML 数据，导致验签失败或解析为空。
常见错误现象：Empty XML、sign error、curl 500、日志里看到 Request method not allowed（其实是中间件提前返回了）。
- 必须关闭该路由对应的所有中间件，包括全局中间件
- 不能依赖
$request->post()—— 微信发的是原始 XML，不是表单数据 - 不能用
input('xml')这类封装方法，它们默认处理 JSON/form-data - 必须手动读取
php://input并转成数组，再用官方 SDK 或自定义逻辑验签
如何注册一个不走中间件的纯回调入口
ThinkPHP 6+ 推荐用「闭包路由」+ 「禁用中间件」方式，绕过所有框架层干预。核心是让这个路由完全跳过中间件栈，直通控制器逻辑。
在 app/route/app.php 中添加：
立即学习“PHP免费学习笔记（深入）”；
use think\facade\Route;
<p>Route::rule('pay/notify', function () {
$xml = file_get_contents('php://input');
// 后续验签、解析、更新订单等逻辑放这里
$data = simplexml_load_string($xml, 'SimpleXMLElement', LIBXML_NOCDATA);
$data = json_decode(json_encode($data), true);</p><pre class="brush:php;toolbar:false;">// 注意：此处必须自己实现签名验证，不能依赖 SDK 的自动中间件
// 因为 SDK 的 <code>Notify</code> 类默认假设你已通过中间件预处理了请求})->allowCrossDomain()->removeMiddleware(); // 关键：removeMiddleware()
-
removeMiddleware()是关键，它清空该路由绑定的所有中间件（含全局） -
allowCrossDomain()可选，但微信服务器 IP 不固定，避免因 CORS 策略误拦截（实际不影响回调，但方便本地调试） - 不要把这段逻辑写进普通控制器，否则会触发控制器生命周期（init、__construct、initialize 等），引入不可控变量
验签失败的三个高频原因
即使 XML 解析成功，90% 的「sign error」来自参数拼接和编码细节。微信验签不是简单对比 MD5，而是对「除 sign 外所有字段按字典升序拼接 + key」再哈希。
-
key必须是商户平台「APIv3 密钥」（不是 APIv2 的 key），且不能带空格或换行 - 字段值要原样参与拼接 —— 不能 trim()、不能 urldecode()、不能转义引号；特别注意
attach、body这类可能含中文或特殊字符的字段 - 拼接时用
=连接键值，用&连接字段，末尾不加 &，且全部小写（如appid=xxx&body=xxx&mch_id=xxx） - 别用 SDK 的
Signer::sign()直接传数组 —— 它默认会对值做urldecode，而微信原始数据是 raw XML，未 decode
建议手写拼接逻辑，控制每一步：
$params = [];
foreach ($data as $k => $v) {
if ($k !== 'sign' && $v !== '') {
$params[$k] = $v;
}
}
ksort($params);
$string = http_build_query($params, '', '&', PHP_QUERY_RFC3986) . '&key=' . $api_key;
$local_sign = strtoupper(md5($string));
回调处理完必须返回特定 XML，否则微信会重试
微信收到非 200 响应、超时、或响应体不是指定格式 XML，就会在 15/15/30/180/1800/1800 秒后重试，最多 6 次。所以响应必须极快、结构严格。
- 必须返回 HTTP 状态码 200（不能是 201、302 或其他）
- 响应头必须是
Content-Type: application/xml，不能是 text/html - 响应体只能是如下格式的 XML，且大小不能超过 1KB：
<xml><return_code>SUCCESS</return_code><return_msg>OK</return_msg></xml>
注意：return_code 和 return_msg 是固定字段名，大小写敏感；不能多字段、不能加 CDATA、不能有空格缩进；一旦业务逻辑出错（比如数据库写失败），也得先返回 SUCCESS，再异步补单 —— 否则微信持续重发，造成重复处理。
最易被忽略的一点：整个回调流程里，**不能有任何 echo/print_r/var_dump**，哪怕是在 try/catch 里。输出任何非 XML 内容都会导致验签端认为响应非法。
