结论：notify_url必须是可公开访问的绝对路径且不能带GET参数，否则支付宝拒绝回调；ThinkPHP5需用file_get_contents('php://input')读原始数据验签；退款必须用trade_no而非out_trade_no，配置中alipay_public_key和sign_type须严格匹配线上环境要求。
直接说结论：别自己拼签名、别硬套官方 SDK 示例、别把 notify_url 写成带参数的 URL —— 这三件事做错任何一件，支付回调就大概率失效，订单状态永远卡在“待支付”。
支付宝异步通知 500 错误或收不到请求？先查这三处
线上最常见的情况是：用户明明在支付宝里点“确认支付”，后台日志却没记录，订单状态不更新。根本原因往往不是验签失败，而是 PHP 进程连请求都没接到。
-
notify_url必须是可公开访问的绝对路径，且不能带 GET 参数（如http://a.com/notify?from=alipay是非法的，支付宝会拒绝回调） - ThinkPHP5 默认关闭了对原始 POST 数据的自动解析，
Notify::checkSign()依赖file_get_contents('php://input')获取原始报文，若中间有 Nginx 或 Apache 的 body 限制（如client_max_body_size）、或开启了某些安全模块（如 ModSecurity），会导致读取为空 - 控制器方法未声明为
public，或路由被中间件拦截（比如登录校验中间件误拦了/notify），也会静默返回 404 或 500
Pagepay::pay() 跳转白屏或报“invalid app_id”？检查配置加载时机
这个错误不是密钥错了，而是 app_id 根本没被读进去。ThinkPHP5 的 extra 配置只在应用初始化时加载一次，如果在控制器里动态改了配置，Pagepay 类内部不会感知。
- 确保
extra/alipay.php文件存在且返回的是合法数组，不要用echo或var_dump污染输出 - 不要在
_initialize()里覆盖全局配置，比如Config::set('alipay', [...])，这会导致后续类无法读取正确值 - 如果使用多应用模式（如
app\home\controller\Pay），确认extra/alipay.php放在根目录的extra/下，而非某个应用子目录里 -
Pagepay::pay()内部会调用AlipayAopClient，它默认从Config::get('alipay')取配置 —— 所以配置名必须严格是'alipay'，不能是'zfb'或'alipay_config'
退款总提示“ALI1001”或“找不到交易”？注意 out_trade_no 和 trade_no 的区别
Refund::exec() 必须传入支付宝侧的交易号 trade_no，而不是你生成的商户订单号 out_trade_no。很多人直接把下单时的 out_trade_no 塞进去，结果一直失败。
立即学习“PHP免费学习笔记（深入）”；
- 首次支付成功后，支付宝异步通知（
notify_url）的 POST 数据里一定包含trade_no，务必存进数据库，和你的out_trade_no关联起来 - 退款时若只传
out_trade_no，支付宝会尝试反查，但成功率低，尤其在沙箱环境或测试频繁时容易查不到 - 生产环境建议先调用
Query::exec($out_trade_no)确认订单状态并取回trade_no，再执行退款，避免“退错单”或“重复退” - 退款金额必须 ≤ 原订单总金额，且不能含多余小数位（如
"10.00"合法，"10.000"会触发验签失败）
沙箱能通、线上总失败？RSA2 签名和公钥配对最容易漏掉
沙箱环境用的是支付宝提供的测试公钥，而线上必须用你在「支付宝开放平台 → 应用 → 查看密钥」里下载的正式 alipay_public_key。很多人复制错了位置，或者混淆了「应用公钥」和「支付宝公钥」。
- 商户私钥（
merchant_private_key）是你生成的，不能泄露；支付宝公钥（alipay_public_key）是支付宝给你的，用于验签，必须填对 - 确认
sign_type是"RSA2"（非"RSA"），且私钥格式是 PKCS#1（以-----BEGIN RSA PRIVATE KEY-----开头），不是 PKCS#8 - 线上环境
gatewayUrl必须是"https://openapi.alipay.com/gateway.do"，沙箱是"https://openapi-sandbox.dl.alipaydev.com/gateway.do"，写混会导致签名被拒绝 - 别信某些旧教程说“把公钥内容粘贴到支付宝后台”，现在新版后台只让你上传文件，它自动生成公钥指纹，你只需把下载下来的
.txt文件内容完整填进配置即可
真正难的从来不是调通一个接口，而是让每笔支付的状态变更都可追溯、可验证、可兜底。尤其当 notify_url 因网络抖动丢失一次回调，系统有没有重试机制？订单超时未支付，有没有定时任务清理？这些细节比签名算法更决定上线后的稳定性。
