直接用官方AOP SDK+Yii可跑通支付宝支付，但多数人卡在命名空间、路径引入和回调验签三处：AlipayTradeService.php引入失败因无命名空间及依赖顺序错；notify_url验签失败主因是未及时获取php://input原始数据或公钥配置错误；return_url仅作前端展示，不可信且不保证到达，唯一可信结果来源是验签通过的异步notify_url回调。
直接用官方 AOP SDK + Yii 的参数管理和生命周期控制，就能跑通支付宝支付，但多数人卡在命名空间、路径引入和回调验签这三处。
AlipayTradeService.php 引入失败报 Class not found
这是最常见问题：官方 demo 里的 AlipayTradeService.php 默认不带命名空间，且依赖同目录下其他类（如 AlipayCore.php），直接 require 进 Yii 控制器会因类加载冲突或找不到依赖而报错。
- 必须统一补全命名空间，例如改成
namespace app\components\alipay;，所有相关文件（AlipayCore.php、AlipaySignature.php、AlipayTradeService.php）保持一致 -
require顺序不能乱：AlipayCore.php→AlipaySignature.php→AlipayTradeService.php - 不要放在
vendor/下靠 Composer 自动加载——SDK 不符合 PSR-4，Composer 找不到类 - 推荐路径：放到
@common/components/alipay/，并在控制器里用Yii::setAlias('@alipay', '@common/components/alipay');显式声明别名
notify_url 验证失败返回 fail
异步通知验签失败，90% 是因为没做原始 POST 数据还原或公钥配置错误，不是代码逻辑问题。
-
file_get_contents('php://input')必须在任何$_POST读取前调用，否则为空；Yii 默认会提前解析 body，所以要在beforeAction()或控制器开头立即获取 - 验签时用的公钥是
alipay_public_key（支付宝平台后台导出的 RSA 公钥），不是你生成的商户私钥，也不是merchant_private_key - 验签方法必须传入原始未 decode 的数据字符串，不能先
$_POST再拼接——支付宝回调是application/x-www-form-urlencoded格式，但验签要求原始签名串和原始业务参数一一对应 - 注意
sign_type必须和配置一致（推荐RSA2），且服务端 PHP 编译需开启openssl扩展
return_url 同步跳转后无法获取支付结果
同步跳转地址（return_url）只作展示用，不可用于更新订单状态，它既不保证到达，也不含完整可信数据。
-
return_url参数是用户浏览器跳转携带的，可能被篡改，trade_status字段在同步响应中不可信，仅作前端提示 - 真正唯一可信的支付结果来源只有
notify_url的异步回调，且必须验证sign和notify_id（后者需调用alipay.notify.verify接口二次确认） - 如果同步跳转页面需要显示“支付成功”，只能查本地订单状态（比如根据
out_trade_no查库），不能信任 URL 中的任何参数 -
return_url地址必须能被公网访问，不能含?r=类路由参数（部分老教程这么写，但支付宝网关会过滤掉），建议用标准 path 形式如/pay/return
最易被忽略的是：支付宝回调可能重复推送，且无序到达。哪怕验签通过，也得先查订单当前状态再决定是否更新，避免多次扣款或状态覆盖。这不是 Yii 特性，是所有支付集成的通用约束。
