支付回调处理须安全提取字段、严格校验状态与金额、验证签名后更新状态：用??兜底取订单号并trim；用===比对统一状态值；金额转整数分再精确比对；签名验证通过才赋值新状态。
在支付回调处理中，必须确保从原始请求数据中安全提取字段、校验合法性并赋值给业务数组，任何未定义索引或松散比较都可能导致状态误更新、重复处理或权限绕过。
安全提取并赋值订单号
支付平台回调常以 XML 或 JSON 形式发送，解析后需从 $dataArr 中取 'out_trade_no' 字段——但该键可能根本不存在。
第一步：用空合并运算符 ?? 兜底，避免触发 Undefined index：【必须使用 $dataArr['out_trade_no'] ?? null，而非直接访问 $dataArr['out_trade_no']】
第二步：将兜底结果传入三元判断，仅当非 null 且为非空字符串时才采用：$orderNo = ($dataArr['out_trade_no'] ?? null) !== null && trim($dataArr['out_trade_no'] ?? '') !== '' ? trim($dataArr['out_trade_no']) : null;
立即学习“PHP免费学习笔记（深入）”；
这一步不能省略 trim()，否则带空格的订单号会导致后续数据库查询失败。
严格校验支付状态字段
微信回调含 'result_code' 和 'return_code'，支付宝含 'trade_status'，字段名不统一，值却都决定是否更新订单状态。
方法一（兼容多平台）：$paid = (isset($dataArr['result_code']) && $dataArr['result_code'] === 'SUCCESS') || (isset($dataArr['trade_status']) && $dataArr['trade_status'] === 'TRADE_SUCCESS') ? true : false;
方法二（推荐，显式分离判断）：$statusVal = $dataArr['result_code'] ?? $dataArr['trade_status'] ?? null; $paid = $statusVal === 'SUCCESS' || $statusVal === 'TRADE_SUCCESS';
【禁用 == 而必须用 ===】——因为 'success'（小写）、'1'、true 都可能被松散比较误判为成功，导致资金未到账就标记为已支付。
金额比对必须防类型混淆
回调中的 'total_fee'（微信）或 'total_amount'（支付宝）是整数分或字符串元，而数据库中订单金额是 float 或 decimal 类型。
先统一转为整数分再比对：$callbackAmount = (int)round((float)($dataArr['total_fee'] ?? $dataArr['total_amount'] ?? 0) * 100);
再与本地订单金额比对：$amountMatch = $callbackAmount === $order->amount_cents ? true : false;
这一步若漏掉 (int)round()，浮点精度误差会让 99.99 元变成 9998.999999999998 分，比对永远失败。
签名验证通过后才允许状态变更
签名验证函数 verifySign($dataArr, $apiKey) 返回布尔值，但不能直接用于三元赋值——因为未验证前，整个回调上下文不可信。
必须先执行验证：if (!verifySign($dataArr, $apiKey)) { echo 'fail'; exit; }
验证通过后，再用三元设置最终状态：$newStatus = $paid && $amountMatch ? 'paid' : 'failed';
注意：这里不嵌套条件，$paid 和 $amountMatch 必须是已计算出的布尔变量，而非在三元中重复调用函数——避免二次解析或副作用。
