对接第三方支付接口需完成请求支付、接收回调和验证签名。1. 先在支付宝开放平台获取AppID、商户私钥和支付宝公钥，推荐使用RSA2算法；2. 构造支付参数并生成签名，通过重定向跳转至支付宝支付页面；3. 在notify.php中接收异步通知，剔除sign字段后排序拼接数据，用支付宝公钥验证签名；4. 验签成功后检查trade_status和app_id，更新订单状态并返回success，确保HTTPS、幂等处理和日志记录以保障安全。
对接第三方支付接口是PHP开发中常见的需求，比如接入支付宝、微信支付等。整个过程主要包括请求支付、接收回调和验证签名三个核心环节。下面以支付宝为例，说明如何用PHP实现支付接口对接与签名验证。
1. 准备工作：获取API凭证
在正式开发前，需要到第三方支付平台（如支付宝开放平台）注册应用，获取以下信息：
- AppID：应用唯一标识
- 商户私钥（private_key）：用于请求签名
- 支付宝公钥（alipay_public_key）：用于验证回调数据的签名
推荐使用RSA2签名算法，安全性更高。密钥可通过命令生成，例如：
openssl genpkey -algorithm RSA -out private.pem -pkeyopt rsa_keygen_bits:2048 openssl rsa -pubout -in private.pem -out public.pem
2. 发起支付请求（以支付宝网页支付为例）
使用支付宝的电脑网站支付（即原即时到账），构造请求参数并跳转到支付页面。
立即学习“PHP免费学习笔记（深入）”；
示例代码：
$gateway = 'https://openapi.alipay.com/gateway.do';
$appId = 'your_app_id';
$returnUrl = 'http://yourdomain.com/return.php';
$notifyUrl = 'http://yourdomain.com/notify.php';
$privateKey = file_get_contents('private.pem');
$params = [
'app_id' => $appId,
'method' => 'alipay.trade.page.pay',
'return_url' => $returnUrl,
'notify_url' => $notifyUrl,
'charset' => 'utf-8',
'sign_type' => 'RSA2',
'timestamp' => date('Y-m-d H:i:s'),
'version' => '1.0',
'biz_content' => json_encode([
'out_trade_no' => 'ORDER_' . time(),
'product_code' => 'FAST_INSTANT_TRADE_PAY',
'total_amount' => '0.01',
'subject' => '测试商品'
])
];
// 生成签名
ksort($params);
$data = urldecode(http_build_query($params));
$sign = '';
openssl_sign($data, $sign, $privateKey, OPENSSL_ALGO_SHA256);
$sign = base64_encode($sign);
$params['sign'] = $sign;
// 构造跳转URL
$url = $gateway . '?' . http_build_query($params);
header('Location: ' . $url);
exit;
3. 接收异步通知并验证签名
用户支付完成后，支付宝会向notify_url发送POST请求。必须验证签名防止伪造请求。
关键步骤：
- 接收所有POST参数
- 排除sign和sign_type字段
- 按字母顺序排序参数
- 拼接为待签名字符串
- 使用支付宝公钥验证签名
示例代码（notify.php）：
$alipayPublicKey = file_get_contents('alipay_public_key.pem');
$data = $_POST;
$sign = $data['sign'];
unset($data['sign'], $data['sign_type']);
ksort($data);
$signedString = urldecode(http_build_query($data));
$result = openssl_verify(
$signedString,
base64_decode($sign),
$alipayPublicKey,
OPENSSL_ALGO_SHA256
);
if ($result === 1) {
// 验签成功
$outTradeNo = $data['out_trade_no'];
$tradeStatus = $data['trade_status'];
if ($tradeStatus == 'TRADE_SUCCESS' || $tradeStatus == 'TRADE_FINISHED') {
// 更新本地订单状态
// 注意：需防止重复通知导致重复处理
echo 'success'; // 必须返回success，否则支付宝会重试
}
} else {
// 验签失败
echo 'fail';
}
4. 安全与最佳实践
确保支付系统安全可靠，需要注意以下几点：
- 所有通信建议启用HTTPS
- 回调中必须验证
app_id是否匹配 - 检查
trade_status是否为成功状态 - 使用唯一订单号防止重复支付
- 记录日志便于排查问题
- 对同一
out_trade_no做好幂等处理
基本上就这些。只要理解签名机制和通信流程，PHP对接第三方支付并不复杂，但细节决定成败，尤其是安全验证不能省略。
