PHP 8.5.5下微信支付回调失败主因是SDK兼容性与底层扩展校验变严：官方wechatpay-php仅支持至PHP 8.3，需手动patch或换社区版；签名须显式指定sha256WithRSAEncryption算法；解密时ciphertext和tag必须分别base64_decode且tag长度严格为16字节；ThinkPHP需禁用中间件并用file_get_contents('php://input')读原始XML。
PHP 8.5.5 下微信支付回调失败，**不是微信接口变了，而是 SDK 和底层扩展行为在 PHP 8.5.5 中更严格了**——多数报错直接卡在签名、验签、解密三步，且错误信息模糊（比如 Invalid AEAD tag、Decryption failed: unable to read private key、空 signature），本质是 PHP 8.5.5 加强了类型校验、弃用警告和 OpenSSL 输入约束。
wechatpay-php SDK 在 PHP 8.5.5 中根本跑不起来
官方 wechatpay-php SDK 最高只兼容到 PHP 8.3，PHP 8.5.5 会直接触发 TypeError 或解析失败。核心卡点有两个：
-
guzzlehttp/guzzle7.x 的array_key_exists($key, $this->options)在 PHP 8.5.5 中因$this->options可能为null报错，必须改成isset($this->options[$key]) -
phpseclib/phpseclib3.x 中对openssl_pkey_get_details()返回值做非对象判空，PHP 8.5.5 返回false而非null，导致私钥加载失败
别碰 composer require wechatpay/wechatpay 自动拉的 v4.x —— 它没声明支持 8.5.5。可用社区维护的 wechatpay-php-8.5 分支，但要注意其 verifySign() 里证书路径处理和官方不一致，需手动对齐。
generateSign() 签名为空或抛 InvalidArgumentException
常见于调用 generateSign() 后返回空字符串，或报 Invalid signature algorithm。PHP 8.5.5 默认禁用弱哈希算法，而部分旧 SDK 初始化时仍尝试 fallback 到 sha1WithRSA。
立即学习“PHP免费学习笔记（深入）”；
- 确保私钥是标准 PEM 格式，含完整
-----BEGIN PRIVATE KEY-----块；用openssl_pkey_get_private($pem)检查返回值是否为OpenSSLAsymmetricKey实例（PHP 8.5+ 类型更严） - 签名前显式指定算法：
$signer = new \WeChatPay\GuzzleMiddleware\Util\Signer($privateKey, 'sha256WithRSAEncryption')，别依赖自动推断 - 运行
openssl_get_md_methods()确认环境支持sha256—— PHP 8.5.5 必须有，但若 OpenSSL 库太旧可能缺失
decryptNotify() 解密报 Invalid AEAD tag 或 IV length not supported
这不是微信数据问题，是 PHP 8.5.5 对 openssl_decrypt() 输入校验变严：IV 长度、tag 二进制长度、padding 参数缺一不可。
-
resource.ciphertext和resource.tag都是 base64 编码，**必须分别base64_decode()**，不能只解密文 -
$tag = base64_decode($rawTag)后立刻检查strlen($tag) === 16，少一个字节或多一个空格都失败 -
openssl_decrypt()第 4 个参数是$iv（即nonce），第 5 个是$tag，第 6 个必须是OPENSSL_ZERO_PADDING（GCM 固定，PHP 8.5.5 不接受0或省略）
ThinkPHP 路由中间件污染原始请求体
微信回调发的是裸 XML，但 ThinkPHP 默认路由会走中间件栈（Session、CSRF、VerifyToken），导致 php://input 被读空或 XML 被转义。
- 必须用闭包路由 +
removeMiddleware()，例如：Route::rule('pay/notify', function() { $xml = file_get_contents('php://input'); ... })->removeMiddleware(); - 禁用所有中间件后，**不能用
$request->post()或input('xml')**，必须手动file_get_contents('php://input')再simplexml_load_string() - 验签通过后第一件事是
ob_end_clean()，然后echo 'success'+exit，任何多余输出（warning、BOM、空格）都会让微信重试
最易被忽略的点：证书路径在 Docker 或宝塔下极易失效——别放 public/（Web 可直接访问被拦截），也别用 __DIR__ . '/../cert/' 这种硬编码；统一配在 config/wechat.php 里用 app()->getRuntimePath() . 'cert/'，且加载前必须 is_readable() 显式校验。
