微信支付的“商户密钥”是商户在微信商户平台手动设置的32位纯字母数字字符串，PHP仅用于签名和AES-256-GCM解密，不可生成、不可混淆APIv2密钥、不可泄露或硬编码。
微信支付的“商户密钥”不是 PHP 代码里写出来的，而是你在微信商户平台手动配置、生成并下载的固定字符串——PHP 只负责在调用 API 时正确使用它（比如参与签名、解密回调）。写错、混淆类型、硬编码泄露、或用错加密方式，是绝大多数失败的根源。
商户密钥在哪配？别在 PHP 里“生成”
微信支付没有提供任何 PHP 函数（如 openssl_pkey_new 或 random_bytes）来“生成”商户密钥。它必须通过以下路径获取：
- 登录 微信商户平台 →「账户中心」→「API安全」→「APIv3密钥」
- 点击「设置APIv3密钥」，输入一个 32 字符长度的纯数字/字母组合（不能含符号、不能有空格），提交后即生效
- 这个密钥仅用于 APIv3 接口的
sign签名和aes-256-gcm解密通知，与旧版 APIv2 的key（32位MD5密钥）完全无关
PHP 怎么用 APIv3 密钥做签名？关键在拼接和哈希
APIv3 要求对请求体做 SHA256 with RSA 签名，但密钥本身不直接参与 RSA 运算——它只用于构造签名原文中的 resource.sign 字段（即解密后的回调响应体签名）。真正要用密钥的地方是：
- 构造
Authorization请求头时，需用商户私钥（apiclient_key.pem）对摘要签名，而该摘要中包含时间戳、随机串、请求路径、以及请求体的 SHA256 值 - 解密支付结果通知时，必须用你配置的 APIv3 密钥（32 字符字符串）作为 AES-GCM 的 key，配合 nonce 和 associated_data 才能正确解密
resource.encrypted_message - 示例解密片段（省略异常处理）：
use openssl_decrypt; $associated_data = $notify['resource']['associated_data']; $nonce = $notify['resource']['nonce']; $ciphertext = base64_decode($notify['resource']['ciphertext']); $key = 'your_32_char_api_v3_key_here'; // 必须严格32字节，UTF-8编码下中文会超长 $plaintext = openssl_decrypt($ciphertext, 'aes-256-gcm', $key, OPENSSL_RAW_DATA, $nonce, $associated_data);
常见密钥相关错误和避坑点
90% 的“验签失败”“解密为空”问题都源于密钥误用：
