AlipayService类必须封装支付请求逻辑，不能在控制器中拼参数跳转；ThinkPHP 6.x应使用alipay/easysdk，需正确配置app_id、private_key、ali_public_key（含BEGIN/END行）、沙箱网关，并禁用input_filter以保障验签成功。
AlipayService 类必须封装支付请求逻辑，不能直接在控制器里拼参数跳转。否则异步通知验签失败、同步跳转丢失订单上下文、沙箱环境无法复现问题——这些不是配置错误，是架构层面的疏漏。
ThinkPHP 6.x 怎么用 alipay/easysdk 发起支付
官方 EasySDK 是当前最省心的选择，但很多人卡在初始化阶段就报 Class 'AlipayEasySDKFactory' not found 或 Invalid app_id。
- 确认已执行
composer require alipay/easysdk，且 vendor/autoload.php 已被 ThinkPHP 自动加载（检查think\facade\App::getAppPath()下是否有vendor/alipay/easysdk） -
app_id、private_key、ali_public_key必须从支付宝开放平台「应用私钥」和「支付宝公钥」原样复制，**不能带换行、空格、注释行**；RSA2 签名下private_key开头必须是-----BEGIN RSA PRIVATE KEY-----，结尾必须是-----END RSA PRIVATE KEY----- - 沙箱环境要显式指定网关：
'gateway' => 'https://openapi.alipaydev.com/gateway.do'，否则默认走正式网关，沙箱账号会返回INVALID_PARAMETER - 支付跳转地址必须用
$app->order->page($order, $returnUrl)生成，不能手动构造 URL——page()内部会自动补全method、format、charset、sign_type等必需参数，漏一个就会ILLEGAL_SIGN
notify_url 验签失败的三个硬坑
90% 的「验签失败」不是密钥错，而是运行时环境或数据解析偏差导致的。
- ThinkPHP 默认开启
input_filter，会自动 trim、urldecode 请求体，而支付宝异步通知要求原始 POST 数据（含 +、/、=），必须在中间件中禁用：Request::instance()->filter(false) - 支付宝发来的通知是
application/x-www-form-urlencoded，但部分 Nginx 配置会把Content-Type强制转成multipart/form-data，导致$_POST为空——需检查phpinfo()中$_SERVER['CONTENT_TYPE']是否匹配 -
ali_public_key必须是「支付宝公钥」，不是「应用公钥」；且不能用 base64_decode 后再传入 SDK——EasySDK 要求传入 PEM 字符串原文（含 BEGIN/END 行）
ThinkPHP 3.2 / 5.x 手动集成老 SDK 的关键改造点
如果你还在维护老项目，别直接套用支付宝官网 Demo 的 alipay_submit.class.php，它和 ThinkPHP 的命名空间、自动加载机制冲突。
- 所有类文件（
Notify.php、Submit.php等）必须加命名空间，如namespace extend\alipay;，并在控制器中用use extend\alipay\Notify; -
cacert.pem文件路径必须写绝对路径：__DIR__.'/cacert.pem'，相对路径在 CLI 模式下会失效 -
alipay_notify.class.php中的getSignVeryfy()方法默认用$_POST，但 ThinkPHP 5+ 的请求对象不直接暴露全局变量，需改写为：$data = Request::instance()->post(); unset($data['sign'], $data['sign_type']); - MD5 签名方式已淘汰，若必须用，
key是「商户密钥」（非私钥），且不能含中文或特殊字符，否则md5($str.$key)结果与支付宝不一致
订单状态更新为什么总滞后或重复？
这不是业务逻辑问题，是回调处理没守住「幂等性」底线。
立即学习“PHP免费学习笔记（深入）”；
- 异步通知（
notify_url）必须先查库：用out_trade_no查订单，若pay_status == 1则直接echo 'success'返回，**绝不二次更新** - 不要在 notify 里调用重试逻辑或发短信——支付宝可能在 2h 内重推 5 次，你发 5 条短信就违规了
- 同步跳转（
return_url）只做展示，不做状态更新；它的作用是「用户看到支付结果」，不是「系统确认支付成功」 - 建议在 notify 处理完后，主动调用支付宝
alipay.trade.query接口二次确认，避免因网络抖动导致通知丢失
