EasyWeChat不是万能解药，用错版本或忽略V3认证机制会加剧排查难度；V2依赖API Key且即将下线，V3必须配置apiv3_key、证书及私钥，并启用平台证书校验与动态时间戳签名。
EasyWeChat 不是万能解药，用错版本或忽略 V3 认证机制反而会让问题更难排查。它适合快速搭建 JSAPI/Native 支付原型，但生产环境必须清楚它底层调用的是 V2 还是 V3 接口、是否启用平台证书校验、签名逻辑是否与你服务端一致。
EasyWeChat 的 V2 与 V3 版本选择混乱
很多人直接 composer require "overtrue/wechat:~5.0"，结果发现 Payment\Client 默认走的是 V2 签名（MD5 + API Key），而你的商户平台已强制启用 V3、禁用 V2 接口——此时统一下单会返回 INVALID_REQUEST 或直接 401。V3 版本（overtrue/wechat:~6.0）才默认使用 WECHATPAY2-SHA256-RSA2048 认证，且要求传入 apiv3_key 和商户证书路径。
- V2 模式：依赖
api_key，无需证书，但仅限老商户且即将下线 - V3 模式：必须配置
apiv3_key、cert_path（apiclient_cert.pem）、key_path（apiclient_key.pem），且需先调用/v3/certificates获取平台证书 - 混淆点：EasyWeChat 6.x 的
Payment\V3\PartnerTransactions类才真正封装 V3 下单，别误用Payment\Client的 V2 方法
支付授权目录校验失败，不是 EasyWeChat 的锅
前端调用 wx.requestPayment 前，微信会校验当前页面 URL 是否落在商户平台「支付授权目录」内。EasyWeChat 生成的 prepay_id 没问题，但如果你的支付页是 https://shop.com/pay?order=123，而你在商户平台只配了 https://shop.com/pay/，就会静默失败——这和 EasyWeChat 无关，是域名配置硬规则。
微信公众号推文写作与发布助手。支持深度文章撰写（1500+ 字）、智能配图搜索、API 配置引导、草稿箱上传、一键排版等全流程功能。 每篇文章默认 1500 字以上，配备 1 张相关配图（放在第一段后），包含清晰的分段标题结构。
- 必须确保支付页 URL 是目录形式（以
/结尾），不能是带 query 的文件路径 - Vue/React 项目若用 History 模式，需在 Nginx/Apache 配置 fallback，让
/pay/能真实响应 HTML - 测试时用
location.href打印当前 URL，和商户平台配置逐字符比对，注意协议、端口、大小写
签名与时间戳不一致导致 401 错误
EasyWeChat V3 模式下，每笔请求的 timestamp 和 nonce_str 必须动态生成，且参与签名。常见错误是复用缓存的 nonce_str、本地时间与微信服务器偏差超 5 分钟、或 PHP date('U') 返回值未转为字符串传入。
-
timestamp必须是 Unix 时间戳整数（如1713189600），不是 ISO 格式 -
nonce_str应为 32 位随机字符串（推荐bin2hex(random_bytes(16))），不能用 UUID 或固定值 - 调试时开启 EasyWeChat 日志：
'log' => ['level' => 'debug', 'file' => '/tmp/easywechat.log']，检查 Authorization 头中各字段是否合规
最易被忽略的是：EasyWeChat 默认不会校验微信回调通知的签名有效性，你必须手动调用 $app->payment->verifyNotify($request->getContent())，否则攻击者可伪造支付成功通知。V3 回调的验签依赖平台证书，而该证书每 24 小时可能轮换，需实现自动刷新逻辑——这点官方 SDK 都没帮你兜底。
