推荐yansongda/pay因其专为PHP框架设计，内置TP6支持、统一支付接口、自动处理验签/日志/异常，避免官方SDK在容器注入、Guzzle兼容、手动封装等方面的落地难题。
ThinkPHP 对接支付功能，核心不是“能不能”，而是“用哪个 SDK”和“回调验签怎么写对”。官方 SDK（如 alipay/easysdk、wechatpay/wechatpay）能省掉 80% 的签名/加解密/HTTP 封装逻辑，但一旦配错参数或漏掉证书路径，curl error 58 或 INVALID_SIGNATURE 就直接卡死。
为什么推荐用 yansongda/pay 而不是官方 SDK
官方 SDK 虽然权威，但在 ThinkPHP 项目中落地时容易踩三个坑：一是 alipay/easysdk 默认不支持 Laravel/TP 的容器注入，需手动 new 实例；二是微信的 wechatpay/wechatpay 强依赖 Guzzle 中间件注册，TP6 的 think\facade\Http 不兼容；三是两者都要求开发者自己处理日志、异常捕获、配置加载逻辑。
yansongda/pay 是专为 PHP 框架设计的聚合 SDK，已内置 TP6 支持，且统一了支付宝/微信的调用风格。它把配置、验签、日志、异常封装成可复用的 Facade，省去重复胶水代码。
- 安装只需一条命令：
composer require yansongda/pay - 配置文件放在
config/pay.php，结构清晰，支持环境变量（env('ALIPAY_APP_ID')） - 支付发起一行代码：
Pay::alipay($config)->page($order)，返回的是完整 HTML 表单，直接echo即可跳转 - 验签逻辑已封装进
$pay->verify()，无需手写 XML 解析或 RSA2 签名校验
支付宝 notify_url 验签失败的常见原因
收到支付宝 POST 请求后返回 fail 或空响应，90% 是验签环节出问题。不是签名算法错了，而是数据源没对上。
立即学习“PHP免费学习笔记（深入）”；
- 必须用原始 POST 数据流：
file_get_contents('php://input')，不能用$_POST—— 支付宝发的是application/x-www-form-urlencoded，但含签名字段在 URL 参数里，$_POST会自动 urldecode，导致验签失败 -
ali_public_key必须是支付宝公钥（不是你的私钥，也不是应用公钥），格式要带-----BEGIN PUBLIC KEY-----头尾，不能有空格或换行符混入 - 验签前必须过滤掉
sign和sign_type字段，且剩余参数要按 key 字典序排序后拼接 - TP6 中若用了中间件做全局 JSON 解析，会提前 consume
php://input，导致verify()拿不到原始数据 —— 必须在该路由上禁用 JSON 解析中间件
微信支付 JSAPI 回调验签总提示 “签名错误”
微信 v3 接口的验签和支付宝完全不同：它不校验请求体，而是校验 HTTP Header 中的 Wechatpay-Signature 和 Wechatpay-Timestamp。很多开发者还在用老方式解析 XML + 手动拼接字符串，必然失败。
- 必须使用微信官方的
wechatpay/wechatpay-guzzle-middleware或yansongda/pay内置的 v3 验签器，它们会自动提取 header 并验证 - 证书路径
cert_path和key_path必须是绝对路径（如/var/www/html/runtime/cert/apiclient_cert.pem），相对路径在 CLI 或异步请求中会失效 - v3 回调是 JSON 格式，不是 XML；不要用
simplexml_load_string()解析，要用json_decode(file_get_contents('php://input'), true) - 微信回调要求 5 秒内返回 HTTP 200 + 空 body，任何
echo、var_dump、日志写入超时都会触发重试，造成订单状态混乱
最易被忽略的一点：支付宝和微信的 notify_url 地址必须是公网可访问的，且不能带 localhost、127.0.0.1 或内网 IP；本地开发务必用 ngrok 或 frp 做隧道，否则平台根本不会发通知 —— 这个限制不会报错，只会静默丢弃请求。
