Composer安装支付宝插件报“package not found”是因官方SDK alipay-sdk-php未托管在Packagist，需手动添加源并运行composer require alipay-sdk-php/alipay-sdk-php；密钥格式须为PKCS#1，环境配置需严格匹配沙箱/正式的appId与gatewayUrl，验签必须使用原始POST数据。
composer install 支付插件时提示 “package not found”
不是插件不存在，而是你搜错了包名——支付宝官方没维护 alipay 或 alipay-sdk 这类泛化名称的 Composer 包。社区主流方案是用 omnipay/alipay（基于 Omnipay 框架）或更轻量的 lokielse/omnipay-alipay（已多年未更新，慎用），但真正推荐、持续维护的是 alipay-sdk-php 官方 SDK，它**不托管在 Packagist**，得手动 require。
实操建议：
- 直接运行
composer require alipay-sdk-php/alipay-sdk-php（注意 vendor 名是alipay-sdk-php，不是alipay） - 如果报 404，说明你的 Composer 配置没启用 VCS repo，需先加源：
composer config -g repositories.packagist.org.url https://packagist.org，再确认网络能访问 GitHub - 该包依赖
ext-curl和ext-openssl，PHP 7.2+ 才支持，低于版本会装不上或运行时报Class 'AlibabaCloud\Client\AlibabaCloud' not found类似错误
支付宝公钥私钥配错导致 sign\_verify 失败
这不是代码写错了，是密钥根本没对上。支付宝开放平台生成的“应用私钥”必须用 PKCS#1 格式（-----BEGIN RSA PRIVATE KEY----- 开头），而很多开发者复制了 PKCS#8（-----BEGIN PRIVATE KEY-----），OpenSSL 默认生成的就是后者。
实操建议：
- 用
openssl rsa -in app_private_key.pem -text -noout查看格式：若输出含Private-Key:且无Subject:行，大概率是 PKCS#1；含Subject:或-----BEGIN PRIVATE KEY-----就是 PKCS#8 - 转格式命令：
openssl pkcs8 -in app_private_key_pkcs8.pem -nocrypt -out app_private_key.pem - 支付宝公钥填的是你在开放平台“接口加签方式”页上传后生成的那串，不是你自己生成的 RSA 公钥；别把“支付宝公钥”和“应用公钥”搞混——前者是支付宝给你的，后者是你上传给它的
调用 AlipayTradePayRequest 时返回 “invalid-app-id”
错误不是 App ID 写错了字符，而是没在 SDK 初始化时传进去，或者传的是沙箱环境的 App ID 却调用了正式环境网关。
实操建议：
- 初始化客户端必须显式指定
app_id：$aop = new AopClient(); $aop->appId = 'your_app_id_here'; - 沙箱环境要同时改两处：一是
$aop->gatewayUrl = 'https://openapi.alipaydev.com/gateway.do'，二是用沙箱版的 App ID（在沙箱控制台查，和正式环境完全不一样） - 别信网上抄来的“自动识别环境”函数——SDK 不自带环境切换逻辑，
gatewayUrl和appId必须人工配对，配错一个就 400
回调验签总失败，AlipaySignature::rsaCheckV1 返回 false
最常见原因是没把原始 POST 数据原样传入验签函数。框架（如 Laravel、ThinkPHP）常会自动解析并过滤参数，导致 $_POST 丢失原始键序或被 urldecode 两次，而支付宝验签要求**原始字符串 + 正确编码**。
实操建议：
- 绕过框架输入层，直接读原始 body：
$raw = file_get_contents('php://input');，再用parse_str($raw, $data)解析 - 验签前确保去掉
sign和sign_type字段，且其他字段按字典序排序后拼接——SDK 的rsaCheckV1函数内部会做，但前提是传进去的是完整、未 decode 的$_POST数组 - 如果用 Nginx，检查是否开了
underscores_in_headers on，某些代理会把Alipay-Signature转成alipay-signature，导致验签拿不到签名头
密钥、环境、原始数据——这三个点只要漏掉一个，验签就必然失败，而且错误信息永远是笼统的 false，没法靠日志定位。
