直接对接微信支付接口的关键在于理解其通信逻辑和安全要求，而非框架选型；必须正确配置AppID、MCHID、APIv3密钥、平台证书与私钥四项凭证，严格遵循金额单位为分、out_trade_no全局唯一、notify_url为备案HTTPS等规则，并使用官方SDK处理签名、证书及回调解密。
直接对接微信支付接口，核心不在框架选型，而在理解微信的通信逻辑和安全要求。ThinkPHP、Laravel 或原生 PHP 都能实现，关键是要把签名、证书、回调验证这三件事做对。
必须提前配置的 4 项凭证
不拿到这四个值，代码写得再漂亮也调不通：
- AppID：公众号或小程序的唯一身份标识，从微信公众平台后台获取
- MCHID（商户号）：微信支付分配的 10 位纯数字编号，不是微信 ID，也不是 APPID
- APIv3 密钥：32 位字符串，在商户平台「API 安全 → APIv3 密钥」中设置，不能泄露
- 平台证书与私钥：APIv3 接口强制要求双向证书校验，需下载微信平台证书（.pem），并用商户私钥（apiclient_key.pem）初始化客户端
统一下单是所有支付方式的起点
无论 JSAPI、APP 还是扫码支付，第一步都是调用 /v3/pay/transactions/jsapi（JSAPI）、/v3/pay/transactions/native（扫码）等下单接口。注意几个硬性规则：
- 金额单位必须是分，不能传 0.01 或 float 类型；
total_amount字段是整数 -
out_trade_no必须全局唯一，建议用时间戳+随机数生成，避免重复下单 -
notify_url必须是 HTTPS 地址且已备案，微信只接受 200 响应，返回任何其他内容（包括空格、BOM 头）都会导致通知失败 - 请求头必须带
Authorization: WECHATPAY2-SHA256-RSA2048签名，不能靠拼接参数 MD5 —— 这是 APIv3 和旧版 v2 的本质区别
回调通知处理不能只“收数据”
微信异步推送的不是普通 POST，而是带签名的加密通知。正确处理流程是：
公众号草稿 / 发布(微信 API)
下载
公众号发布｜公众号草稿箱｜公众号群发｜图文推送｜微信 API｜wechat automation｜WeChat API automation｜auto publish｜scheduled publish — 公众号 API 发布工具，图文入草稿箱或直接群发，支持封面素材上传、发布前检查与 draft/publis...
立即学习“PHP免费学习笔记（深入）”；
- 用
file_get_contents('php://input')获取原始 JSON 数据体 - 解析出
resource.encrypted_message、resource.nonce、resource.associated_data - 用商户私钥 + 上述三字段 + 平台证书公钥，调用 AES-256-GCM 解密
- 解密后验证
result.pay_status是否为SUCCESS，再检查out_trade_no和金额是否匹配本地订单 - 成功处理后立即返回
{"code":"SUCCESS","message":"OK"}，且响应体不能含多余字符或换行
推荐使用官方 SDK 而非手写 cURL
微信官方 wechatpay/wechatpay SDK（Composer 包）已封装证书加载、自动刷新平台证书、签名生成与验签全流程。初始化示例：
use WeChatPay\Builder;
$client = Builder::factory([
'mchid' => '1900000109',
'serial' => 'A1B2C3D4E5F6...', // 商户证书序列号
'privateKey' => file_get_contents('/path/to/apiclient_key.pem'),
'certs' => [
'A1B2C3D4E5F6...' => file_get_contents('/path/to/wechatpay_cert.pem')
]
]);
调用下单只需一行：$client->post('/v3/pay/transactions/jsapi', $payload);，省去手动构造 header、签名、解密等易错环节。
