Webman接入微信支付SDK需使用wechatpay/wechatpay v1.2+协程友好版本，禁用同步cURL，手动注入Swoole\Http\Client，证书路径必须为绝对路径且权限设为600。
Webman 里怎么装微信支付 SDK？别直接 composer require
Webman 默认用的是 workerman 底层，而官方微信 SDK（wechatpay-php）依赖 ext-curl 和同步 HTTP 客户端，但 Webman 的协程环境里直接用它会阻塞整个进程。很多人一上来就 composer require wechatpay/wechatpay，结果回调验签失败、异步通知超时、甚至 CPU 占满。
正确做法是：用官方推荐的协程友好版本 —— wechatpay/wechatpay v1.2+（支持 Swoole\Http\Client 或 Co\HTTP\Client），并手动注入协程客户端：
- 确保已启用
swoole扩展且版本 ≥ 4.8 composer require wechatpay/wechatpay:^1.2- 初始化时传入
new \Swoole\Http\Client(...)或封装一个CoHttpClient工厂，不能用file_get_contents或原生cURL - 证书路径必须用绝对路径，相对路径在协程多 worker 下容易读取失败，建议写成
__DIR__ . '/config/apiclient_cert.pem'
支付宝 SDK 在 Webman 里为啥 notify 验签总过不了？
支付宝官方 SDK（alipay-sdk-php）默认基于 $_POST 和 $_GET，但 Webman 的 HTTP 请求对象是 Request 实例，且 POST 数据可能已被解析为 JSON 或被中间件修改。最常见现象是 AlipayAopClient::verifyNotify() 返回 false，实际原因不是密钥错，而是原始参数没捞全。
关键点在于：支付宝验签必须用「原始未解析的 query string」或「原始 body 字节流」，而不是 $request->post() 后的数据：
- 在路由里用
$request->rawBody()获取原始 POST 内容（适用于 form-data 或 application/x-www-form-urlencoded） - 如果是 JSON 支付宝回调（少见但存在），需先
json_decode($request->rawBody(), true)，再按支付宝文档要求拼接待签名字符串 - 公钥必须是支付宝开放平台下载的
alipayPublicKey.pem，不是你自己生成的 RSA 公钥；私钥要用 PKCS#1 格式（以-----BEGIN RSA PRIVATE KEY-----开头），PKCS#8 格式会验签失败 - 注意时间戳字段名：支付宝用
timestamp，不是time，字段缺失或格式不对（如带毫秒）也会导致验签失败
支付回调路由怎么写才不丢请求？
Webman 默认开启 worker_num 多进程，而微信/支付宝回调都是单次 HTTP 请求，如果没做幂等或并发控制，高并发下同一笔订单可能触发多次回调处理，造成重复发货、重复扣款。
安全写法不是靠“加锁”硬扛，而是结合 Webman 特性分层防御：
- 回调入口路由必须禁用所有中间件（尤其是 session、csrf），加
->middleware([])，避免中间件提前 consume body 导致后续读不到原始数据 - 用 Redis 做轻量级幂等：对
out_trade_no+notify_time做 5 分钟去重（微信回调可能重发，支付宝最多 3 次） - 业务逻辑必须包裹在
try/catch中，任何异常都返回成功响应（return response('success')），否则支付宝会反复重试，加重风险 - 不要在回调里调用耗时操作（如发邮件、写大文件），统一走消息队列或异步任务（
Worker::$task或 Redis delay queue）
为什么沙箱环境测试通过，正式环境却一直 signature_invalid？
这不是代码问题，是配置链断裂。微信和支付宝沙箱用的是独立密钥体系，正式环境切过去后，90% 的失败源于三个隐形坑：
- 微信：正式环境的
APPID、MCHID、APIV3_KEY必须和商户平台完全一致，大小写敏感；APIV3_KEY是 32 位纯字母数字字符串，不是证书密码 - 支付宝：沙箱用
https://openapi.alipaydev.com，正式必须切到https://openapi.alipay.com，SDK 初始化时gatewayUrl参数漏改就会静默失败 - 两者都依赖系统时间 —— Webman 运行机器的本地时间必须和 NTP 同步，偏差 > 15 分钟直接拒签，用
date命令检查，别信 PHPdate()
真正麻烦的是证书和密钥的加载时机：Webman 的 worker 进程启动后不会自动 reload 文件，改了证书必须重启服务，热更新无效。这点很容易被忽略，尤其在 Docker 环境里挂载证书后忘了重建容器。
