海洋CMS会员充值支付接口怎么对接？支付宝微信设置

海洋CMS 的会员充值不是"装个插件就完事"，本质是三段式链路：会员中心下单生成唯一订单号 → 跳转支付宝/微信收银台 → 支付平台异步回调你的 notify 接口，验签通过后给会员表加余额或积分。支付宝和微信官方都不提供"CMS 专用插件"，你要做的是把这个回调接口接到海洋CMS 的会员体系上；接不接得通，成败几乎全在回调那 20 行代码，而不是支付页面好不好看。

海洋CMS 会员充值支付是怎么跑起来的？

结论：整条链路的关键点是"异步回调（notify_url）"，页面跳转只是给用户看结果，真正改余额的必须是服务端回调。

具体走这四步：

1. 会员在会员中心填充值金额，提交后你的下单脚本生成订单号 out_trade_no（建议格式 日期+会员ID+随机数，全局唯一），并把订单写入一张自建订单表，状态 0=未支付。
2. 用支付宝 alipay.trade.page.pay（电脑网站支付）或微信 Native 支付下单，拿到支付链接/二维码返回给前端。
3. 用户付款成功后，支付宝 POST 到你的 notify_url，微信 POST 到你的通知地址。
4. 你的回调脚本验签 → 校验金额 → 幂等地把订单置为已支付 → 给会员加余额/积分 → 输出 success（微信要求返回 JSON {"code":"SUCCESS"}）。

注意第 4 步的顺序：先改订单状态再加余额，用订单号的唯一索引兜底，防止支付宝重复通知导致会员余额翻倍——这是最常见的资损点。

支付宝和微信接口该选哪个？怎么申请？

结论：个人站优先接支付宝"电脑网站支付 + 手机网站支付"，微信支付必须企业资质，个体户或公司才能开通。

支付宝：到 open.alipay.com 创建网页/移动应用，签约"电脑网站支付"和"手机网站支付"，拿到 APPID，用支付宝密钥工具生成 RSA2 密钥对，上传应用公钥，保存应用私钥。签名算法是 RSA2（SHA256WithRSA），网关 https://openapi.alipay.com/gateway.do。

微信：到 pay.weixin.qq.com 申请商户号，绑定 APPID，开通 Native 支付或 JSAPI 支付。APIv3 用商户私钥签名（SHA256-RSA2048），回调通知要用微信平台证书验签，金额单位是"分"，别把 1 元写成 1。

如果你没有企业资质，市面上的做法是接聚合支付（如各类"易支付"接口），它把支付宝、微信、QQ 钱包统一成一个 HTTP 接口，签名多为 MD5。代价是资金先过第三方，费率和跑路风险自担，站内测速用可以，别当长期方案。

具体要配对哪些参数？

结论：CMS 侧只要配对 4 个值——商户号/APPID、私钥、回调地址、同步跳转地址，其余全是代码逻辑。

• notify_url：写成 https://你的域名/pay/notify_alipay.php，必须公网可访问、必须 HTTPS、不能带参数、不能被防火墙拦 POST。
• return_url：用户付款后跳回的页面，一般指回会员中心充值记录页。
• 私钥文件放到 Web 目录之外，权限 600，禁止 .key 被直接下载。
• 支付宝后台把服务器出口 IP 加进白名单，微信侧配置好支付授权目录。

回调脚本怎么写才不出错？

结论：回调脚本只做四件事——验签、校验金额与商户号、幂等更新、返回成功标识，其他任何业务都别塞进去。

以支付宝为例：接收 $_POST → 用支付宝公钥验签（RSA2）→ 判断 trade_status 是 TRADE_SUCCESS 或 TRADE_FINISHED → 对比 total_amount 与本地订单金额是否一致 → 检查 out_trade_no 对应订单是否已处理 → 更新订单并加余额。

微信 APIv3 回调是加密的 resource，要先用 APIv3 密钥 AES-256-GCM 解密，再判断 event_type 为 TRANSACTION.SUCCESS，trade_state 为 SUCCESS。

金额校验这一步不能省：曾有人只验签不验金额，被改包用 0.01 元充了 100 元。

充值成功但会员余额没加，怎么排查？

结论：90% 的问题出在回调没到达，而不是代码算错。

按这个顺序查：

1. 看支付平台后台的"交易记录 / 回调日志"，确认是否发出过通知、返回是否 200。
2. 直接在浏览器访问 notify_url，如果报 404 或 500，说明路径或语法有问题；如果是 301/302 跳转，说明被伪静态规则或登录拦截了——支付回调必须放行，不能再走会员登录校验。
3. 检查服务器时间，支付宝验签对时间偏差敏感，NTP 校时到 1 分钟内。
4. 确认回调脚本用的是 $_POST 而不是 $_GET（支付宝异步通知是 POST）。
5. 在回调脚本开头写一行 file_put_contents('notify.log', date('c').json_encode($_POST).PHP_EOL, FILE_APPEND);，这是最有效的定位手段。

至于"会员余额存在哪张表、字段叫什么"，在你的数据库里打开会员表看结构确认即可；不同海洋CMS 版本表结构与充值入口文件位置有差异，先在会员中心充值页按 F12 看表单 action 指向哪个 PHP 文件，那就是你要改的落点。

一句话收尾：海洋CMS 接支付，页面随便做，回调必须稳——验签、验金额、订单幂等、日志留痕，这四件事做齐，支付宝和微信都能一次跑通。