第三方SDK需配置自动加载或用Composer安装，密钥须存.env并禁止硬编码；调用接口要设cURL超时与SSL证书路径；回调须验签、幂等及IP限流。
第三方SDK引入后为什么突然报Class not found
ThinkPHP默认不自动加载非Composer包管理的第三方SDK，尤其是手动放入extend/或vendor/外目录的类。常见错误是直接new SDKClient()却没注册自动加载规则。
- 确认SDK是否带
composer.json：有则用composer require vendor/name安装，TP6+会自动识别PSR-4规则 - 无Composer支持的SDK，必须在
composer.json的"autoload": {"psr-4": {}}里追加命名空间映射，例如"Aliyun\OSS\": "extend/aliyun-oss/src/"，然后运行composer dump-autoload - 避免把SDK丢进
public/或runtime/——这些目录不参与自动加载，且可能被Web服务器直接暴露
调用外部接口时如何防止敏感配置泄露
硬编码access_key_secret或写死在config/api.php里，上线后极易通过phpinfo()、错误页面回显或Git历史泄露。TP本身不拦截配置文件读取，靠的是规范和隔离。
- 所有密钥类配置必须放在
.env中，用Env::get('ALIYUN_OSS_SECRET')读取，确保.env已加入.gitignore - 禁止在控制器里拼接URL时直接嵌入
$_GET['callback']——需用Url::build()生成回调地址，或对参数做urlencode()+filter_var($url, FILTER_SANITIZE_URL) - 测试环境与生产环境的SDK配置应分离，比如用
config/api.php中根据App::env('app_debug')开关签名调试日志
curl_exec()超时、SSL验证失败、响应乱码怎么快速定位
第三方接口调用失败常表现为白屏、500或空响应，但真实原因是cURL底层异常未被捕获。TP的thinkHttp封装虽简化调用，却隐藏了SSL和编码细节。
- 强制设置
CURLOPT_TIMEOUT_MS（推荐3000~5000ms），避免网关级超时导致整个请求阻塞；TP6的Http::timeout(3)底层实际设的是CURLOPT_TIMEOUT（秒级），精度不够 - 对接国内SDK（如微信、支付宝）时，若报
SSL certificate problem: unable to get local issuer certificate，不要简单关掉CURLOPT_SSL_VERIFYPEER，而应下载最新ca-bundle.crt，通过CURLOPT_CAINFO指定路径 - 响应体含中文但
Content-Type未声明charset=utf-8时，用mb_convert_encoding($res, 'UTF-8', 'GBK')兜底，别依赖iconv()——它在部分Linux容器里默认不可用
SDK回调通知如何防重放、验签、限流
支付、消息推送等场景的回调接口（如/api/v1/notify）一旦开放，就可能被恶意构造请求重放或绕过签名验证。TP路由和中间件能拦住非法路径，但签名校验逻辑必须由业务代码强控。
立即学习“PHP免费学习笔记（深入）”；
- 验签必须在
Application::middleware中前置执行，且使用SDK官方提供的验签方法（如微信的wechat->verifyNotify()），禁用自写MD5/HMAC逻辑——密钥拼接顺序、空格、编码差异都会导致失败 - 用
cache()->set('notify_' . $out_trade_no, true, 60)做幂等控制，key带业务单号+时间戳，过期时间略大于最大网络延迟（建议60s） - 对高频回调IP做简单限流：在中间件里查
cache()->get('ip_limit_' . $request->ip())，1分钟内超5次即throw new HttpException(429)
SDKException还是RuntimeException，以及要不要把原始curl_error()记进日志——后者可能含敏感头信息，得先preg_replace('/Authorization:.*
/i', '', $log)再落盘。 
