微信公众号接口在ThinkPHP中跑通的关键是：严格按微信规则验证签名（token、timestamp、nonce字典序排序后sha1加密比对）、从php://input读取原始XML消息、access_token必须Redis缓存并防并发覆盖。
微信公众号接口在 ThinkPHP 中能跑通，关键不在框架本身，而在于三件事：验证阶段签名比对必须严格按微信规则来、消息体必须从 php://input 读原始 XML、access_token 必须跨请求复用且防并发覆盖。其他都是细节问题。
ThinkPHP 接入验证时 signature 总是不匹配？
这是最常卡住的一步，不是代码没写，而是排序、拼接、哈希三个环节任一出错都会静默失败。
- 必须用
sort($arr, SORT_STRING)排序，不能用asort——后者保留键名，拼接时顺序错乱 - 拼接前确保数组只有三个值：
$token、$timestamp、$nonce，多一个空格或换行都导致sha1结果不同 -
sha1(implode('', $arr))是唯一安全写法；hash('sha1', ...)默认输出二进制，要加true参数才等效 - 调试时一定要
var_dump($signature, sha1(implode('', $arr)))并列打印，微信不会告诉你哪错了
收到消息后 $_POST 为空，simplexml_load_string 报错？
微信所有普通消息（文本、事件、图片）都走 POST 的 raw XML，$_POST 为空是完全正常的，强行用它就注定失败。
- 必须用
file_get_contents('php://input')读原始数据，这是唯一可靠方式 - 调用
simplexml_load_string前，必须先执行libxml_disable_entity_loader(true)，否则存在 XXE 漏洞 - 回复 XML 时，
Content-Type必须设为text/xml; charset=utf-8，少一个分号或字符集都可能被微信丢弃 -
CreateTime字段必须是字符串格式的数字，(string)time()，不能直接传整型
为什么每次请求都重新拉 access_token，还总超限？
access_token 是全局共享凭证，有效期 7200 秒，但调用量限制极严（2000 次/天），绝不能每次消息都重取。
立即学习“PHP免费学习笔记（深入）”；
- 不能存
session或$_SERVER全局变量里——不同请求不共享 - 文件存储必须加锁：
flock($fp, LOCK_EX)，否则并发写会损坏 JSON 内容 - Redis 是最优解：
$redis->setex('wx_access_token', 7200, $token)，天然带过期、无竞态 - 每次使用前检查缓存中是否已存在且未过期，过期时间应以缓存写入时刻 +
expires_in为准，不是当前时间戳比对
ThinkPHP6 用 EasyWeChat 还是自己封装？
除非你明确需要精简包体积或深度定制加解密逻辑，否则直接上 overtrue/easywechat 是更省心的选择，尤其对 TP6 的依赖注入和配置加载支持良好。
- 安装后，在
config/wechat.php中填好app_id、secret、token即可开用 - 路由建议用
Route::rule('wechat', 'Wechat/index')->ext('xml')，显式声明响应为 XML - 中间件里做签名验证，控制器里专注业务逻辑，避免把验证和消息处理混在一起
- 注意
easywechat默认启用缓存，但若你用的是文件驱动，得确认runtime/cache目录有写权限，否则 token 刷新会静默失败
真正难的不是写几行验证代码，而是所有环节都要同时满足微信的刚性要求：参数顺序、编码方式、时间精度、缓存一致性。漏掉任意一个，接口就变成“看起来在跑，其实没生效”的幽灵状态。
