ThinkPHP6.x 支付宝小程序：后端签名验证与用户授权登录处理

在实际项目中处理支付宝小程序后端签名验证和用户授权登录时，总有开发者会遇到“签名验证失败”或“授权解析异常”这类问题。其实多数情况倒不是架构设计出了大问题，而是几个关键环节——公钥私钥配置、授权码换取用户信息、回调参数验签、用户信息存储、以及中间件统一校验——没衔接好。下面把这五个环节逐一拆开来说。

一、配置支付宝开放平台公钥与应用私钥

支付宝小程序请求携带的参数是通过RSA2签名机制校验的，后端必须正确加载支付宝公钥（用于验签）和应用私钥（用于后续接口调用）。公钥这块有个容易踩的坑：支付宝公钥默认是PKCS#1格式，直接复制纯Base64内容就行，别把首尾标识行带进去，换行符也要去掉。

具体操作分三步：

第一步，登录支付宝开放平台，在「开发管理」→「应用信息」→「密钥管理」中下载支付宝公钥文件（.txt），提取出中间的纯Base64字符串，-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----这两行都不要。

第二步，把这个字符串写到项目根目录的config/alipay.php配置文件里，键名用'alipay_public_key'，值就是去掉换行的字符串。

第三步，应用私钥也要以PKCS#1格式保存在runtime/keys/app_private_key.pem，文件权限设成600，内容里不要有空格和不可见字符。

二、实现支付宝授权码 code 换取用户信息

前端调用my.getAuthCode拿到code之后，后端需要通过https://openapi.alipay.com/gateway.do调用alipay.system.oauth.token接口，才能换回user_id、auth_token以及用户的基础信息。这个请求必须用应用私钥签名，content-type和charset也要设对。

流程是这样的：

先在控制器里接收前端传来的code，校验一下非空，而且长度要大于20个字符。

然后构造请求参数，参数里包括grant_type=authorization_code、code的值、app_id、method=alipay.system.oauth.token、format=json、charset=utf-8、sign_type=RSA2、version=1.0。

最后用think\facade\Http::post()发送表单请求到网关地址。签名字段sign要通过openssl_sign配合SHA256withRSA算法生成，然后做Base64 URL安全编码。

三、对支付宝回调参数执行完整签名验证

支付宝在支付结果通知或授权回调场景中，会用GET或POST方式推送带sign字段的参数。后端必须把sign和sign_type剔除，剩下的参数按字典序拼接成key=value&...形式，再用支付宝公钥验证签名是否有效——这是防止伪造请求的关键防线。

具体做法：从Request对象拿到全部参数，过滤掉sign和sign_type。然后对剩余参数的键名做ASCII升序排序，遍历拼接成key1=value1&key2=value2&...格式。注意value要经过urlencode处理，但斜杠和点号不要编码。

最后用openssl_pkey_get_public()加载配置里的支付宝公钥，调用openssl_verify()验证原始字符串和请求中sign的Base64解码值。返回1就算验签通过。

四、解析并存储用户授权信息至本地会话

成功换取用户信息后，需要提取user_id、auth_token、a vatar、nick_name这些字段，生成一个唯一的session_token写入ThinkPHP的缓存系统——这样就不必重复调用授权接口了。

操作步骤：从alipay.system.oauth.token接口的响应中取alipay_user_id作为用户唯一标识（user_id字段是脱敏ID，别用）。然后用think\facade\Cache::set()，键设为"alipay_user_".md5($alipay_user_id)，值存一个包含auth_token、expires_in（单位秒）、refresh_token、nick_name的关联数组，有效期设为expires_in - 300秒。

最后返回JSON响应，里面包含自定义的session_token（用uniqid('alipay_')生成）和user_info子对象——前端后续凭这个session_token访问业务接口。

五、统一中间件拦截未授权或验签失败请求

为了保障所有支付宝小程序相关接口的安全性，最好的做法是创建一个中间件，对请求头中的X-Alipay-App-Id、请求体签名和授权状态做集中校验——这样就不用每个控制器都重复写安全逻辑了。

具体实现：在app/middleware/AlipayAuthMiddleware.php里实现handle()方法，先判断当前路由是否属于支付宝小程序接口前缀（比如/api/alipay/）。如果路径匹配，就调用Request::param()获取全部参数，执行刚才说的验签流程。验签失败的话立即返回HTTP 401状态码和错误信息{"code": "INVALID_SIGN", "msg": "签名无效"}。

如果请求里带了session_token头部，就用think\facade\Cache::get()查询对应的用户数据。找不到就返回403，找到了就把用户信息注入Request对象的attr属性，供后续控制器使用。