微信支付回调验签失败主因是参数未对齐：需用file_get_contents('php://input')读原始XML，严格按文档处理字段顺序、大小写及CDATA；密钥必须为APIv3密钥；回调地址须HTTPS且完整备案。
微信支付回调验签失败：signature 不匹配的常见原因
验签失败不是签名算法写错了，而是参数没对齐——微信回调 POST 数据里混了 XML 和 JSON，而你用 $_POST 直接取，根本拿不到原始 XML 字符串。
正确做法是：用 file_get_contents('php://input') 读原始 body，再用 simplexml_load_string() 解析；验签前必须确保字段顺序、大小写、空格、CDATA 处理都和微信文档一致（尤其是 return_code 和 result_code 都为 SUCCESS 才继续）。
- 别用 ThinkPHP 的
$this->request->post()，它只解析表单/JSON，不处理微信发来的纯 XML - 验签密钥必须是商户平台「APIv3 密钥」（32位），不是「API 密钥」（旧版）
- 回调地址在公众号/小程序后台必须配置成带 HTTPS 的完整路径，且不能带参数或重定向
支付宝 alipay.trade.pay 接口返回 INVALID_PARAMETER
这个错误基本锁定在请求参数格式或必填项缺失。ThinkPHP 默认开启 url_route_must 或中间件拦截了 POST 原始数据，导致支付宝 SDK 初始化时拿不到 $_POST 或构造的请求体被污染。
支付宝官方 SDK（alipay-sdk-php）依赖原生 $_POST，如果你在控制器里提前调用了 $this->request->post() 或开启了全局 JSON 解析中间件，$_POST 就会为空。
立即学习“PHP免费学习笔记（深入）”；
公众号运营：文章发布至草稿、样式封面、评论与用户管理、数据统计等。用户要求将 Markdown 发送到公众号草稿、查看阅读量统计或类似后台操作时，使用本技能。
- 在调用
AlipayTradePayRequest前，确认$_POST未被清空或覆盖 -
out_trade_no必须全局唯一且只能含字母、数字、下划线、中划线，长度 ≤64 - 金额字段
total_amount必须是字符串类型（如"19.90"），不能传 float 或 int，否则触发格式校验失败 - 同步返回地址
return_url和异步通知地址notify_url必须在支付宝开放平台备案过，且协议、域名、路径完全一致
ThinkPHP 6.x 中如何安全存储支付私钥与配置
把 apiclient_cert.pem、apiclient_key.pem 放进 app/extra/ 或 config/ 下是危险操作——这些目录可能被 Web 服务器直接暴露。微信证书必须脱离 Web 可访问路径。
推荐方案：将证书文件放在 runtime/certs/（自动创建，不可通过 URL 访问），并在配置中用绝对路径引用；敏感字段如 merchant_private_key 不要硬编码，应从环境变量读取。
- 在
.env中写：WECHAT_CERT_PATH=/var/www/runtime/certs/apiclient_cert.pem - 加载证书时用
realpath(env('WECHAT_CERT_PATH'))，避免相对路径错误 - 支付宝的
merchant_private_key内容需去掉首尾-----BEGIN RSA PRIVATE KEY-----等行，仅保留 Base64 段落，且不能换行
支付成功后订单状态更新并发冲突
用户快速重复点击“支付”或网络延迟导致多次回调到达，同一笔 out_trade_no 的通知被并发执行，订单状态可能被多次更新，甚至出现“已退款”又被设为“已支付”。
不能只靠数据库 WHERE status = 'pending' 更新，得加唯一约束 + 幂等控制。
- 在订单表加唯一索引：
UNIQUE KEY `ux_out_trade_no` (`out_trade_no`) - 回调逻辑开头先查是否存在已处理记录（
status IN ('paid', 'refunded')），存在则直接返回 success - 更新语句用
UPDATE order SET status = 'paid', paid_time = NOW() WHERE out_trade_no = ? AND status = 'pending'，检查affected_rows === 1再发消息、扣库存 - 不要在回调里调用耗时操作（如发短信、写日志到慢盘），改用队列异步处理
