一、微信接口配置验证概述

微信公众平台（或开放平台）要求开发者在配置服务器地址时完成接口验证，其核心目的是确认服务器归属权——通过特定算法验证开发者服务器的合法性，防止恶意配置他人服务器。

验证的核心流程是：

1. 微信服务器向开发者填写的URL发送GET请求，携带4个关键参数；
2. 开发者服务器按规则验证参数，通过后返回特定字符串；
3. 微信服务器接收返回结果，确认服务器有效性。

二、核心原理与参数解析

1. 关键参数说明

微信服务器发送的GET请求包含4个核心参数，各自作用如下：

2. 签名生成规则（核心）

signature的生成是验证的关键，步骤如下：

1. 取出开发者预设的Token、请求中的timestamp、nonce；
2. 将三个值按字典序排序（字符串排序，而非数字排序）；
3. 拼接排序后的字符串为一个新字符串；
4. 对新字符串执行sha1加密，得到的结果即为signature。

开发者服务器需用相同规则生成签名，与请求中的signature对比——一致则验证通过，返回echostr；否则验证失败。

三、基础实现：明文模式验证（通用版）

明文模式是最简单的验证方式，适合新手入门。此模式下echostr为明文，验证通过后直接返回即可。

代码示例（带详细注释）

<?php
/**
 * 微信接口配置验证 - 明文模式（通用版）
 * 适用场景：无框架的原生PHP环境，快速验证服务器有效性
 */

// 1. 定义Token（必须与微信公众平台配置的"令牌"完全一致）
// 注意：区分大小写，不可有空格或多余字符
$token = "my_wechat_token_123"; 

// 2. 获取微信服务器发送的GET参数
// 使用isset()和trim()处理，避免参数缺失或空格导致的错误
$signature = isset($_GET['signature']) ? trim($_GET['signature']) : '';
$timestamp = isset($_GET['timestamp']) ? trim($_GET['timestamp']) : '';
$nonce = isset($_GET['nonce']) ? trim($_GET['nonce']) : '';
$echostr = isset($_GET['echostr']) ? trim($_GET['echostr']) : '';

// 3. 验证参数完整性（非验证请求直接退出）
// 微信验证请求一定会携带4个参数，缺失则为无效请求
if (empty($signature) || empty($timestamp) || empty($nonce) || empty($echostr)) {
    exit('Invalid request: missing parameters');
}

// 4. 按规则生成签名
// 步骤1：将token、timestamp、nonce放入数组
$tmpArr = array($token, $timestamp, $nonce);
// 步骤2：按字典序排序（SORT_STRING确保按字符串规则排序，关键！）
sort($tmpArr, SORT_STRING);
// 步骤3：拼接为一个字符串（无分隔符）
$tmpStr = implode($tmpArr);
// 步骤4：sha1加密（结果为40位小写字符串）
$generatedSignature = sha1($tmpStr);

// 5. 对比签名：一致则返回echostr，否则验证失败
// 注意：必须用"==="严格比较，避免类型转换导致的意外
if ($generatedSignature === $signature) {
    // 输出必须仅包含echostr，不可有任何额外字符（如空格、换行）
    echo $echostr;
} else {
    exit('Validation failed: signature not match');
}
?>

使用步骤

1. 将代码保存为wechat_verify.php，上传至服务器可访问路径（如http://你的域名/wechat_verify.php）；
2. 微信公众平台配置：
   • 服务器URL填写上述路径；
   • 令牌（Token）填写与代码中$token一致的值；
   • 消息加解密方式选择“明文模式”；
3. 点击“提交”，若配置正确则显示“配置成功”。

四、框架集成：以ThinkPHP 6为例

在框架中使用时，需注意参数获取方式（框架通常封装了原生$_GET）和路由配置。

1. 路由配置（route/app.php）

<?php
// 定义微信验证路由（仅允许GET请求）
use think\facade\Route;
Route::get('wechat/verify', 'WechatController@verify');

2. 控制器实现（app/controller/WechatController.php）

<?php
namespace app\controller;

use think\facade\Request; // 引入框架请求类

class WechatController
{
    // 1. 定义Token（与微信平台配置一致）
    private $token = "my_wechat_token_123";

    /**
     * 微信接口验证方法
     */
    public function verify()
    {
        // 2. 通过框架方法获取GET参数（兼容框架的参数过滤机制）
        $signature = Request::get('signature', ''); // 第二个参数为默认值
        $timestamp = Request::get('timestamp', '');
        $nonce = Request::get('nonce', '');
        $echostr = Request::get('echostr', '');

        // 3. 验证参数完整性
        if (empty($signature) || empty($timestamp) || empty($nonce) || empty($echostr)) {
            return 'Invalid request: missing parameters'; // 框架会自动处理输出
        }

        // 4. 生成签名（逻辑与原生PHP一致）
        $tmpArr = array($this->token, $timestamp, $nonce);
        sort($tmpArr, SORT_STRING); // 字典序排序
        $tmpStr = implode($tmpArr);
        $generatedSignature = sha1($tmpStr);

        // 5. 验证签名并返回结果
        if ($generatedSignature === $signature) {
            return $echostr; // 框架确保输出纯净，无额外字符
        } else {
            return 'Validation failed: signature not match';
        }
    }
}

使用说明

• 访问URL为路由定义的路径（如http://你的域名/wechat/verify）；
• 确保框架未对echostr进行自动转义（ThinkPHP默认不转义）；
• 若使用其他框架（如Laravel），核心逻辑一致，仅参数获取方式改为框架对应方法（如request()->get('signature')）。

五、安全模式：加密解密验证

当微信平台选择“安全模式”或“兼容模式”时，echostr为加密字符串，需通过微信官方加密库解密后返回。

1. 准备工作

• 下载微信官方加密库：从微信公众平台接口文档获取wxBizMsgCrypt.php和errorCode.php；
• 将两个文件放入项目目录（如lib/文件夹）。

2. 代码示例（带注释）

<?php
/**
 * 微信接口配置验证 - 安全模式（加密解密）
 * 适用场景：需更高安全性的生产环境，需配合微信官方加密库
 */

// 1. 引入微信加密库（确保文件路径正确）
require_once 'lib/wxBizMsgCrypt.php';
require_once 'lib/errorCode.php';

// 2. 配置参数（必须与微信平台完全一致）
$token = "my_wechat_token_123"; // 与平台"令牌"一致
$encodingAesKey = "abcdefghijklmnopqrstuvwxyz0123456789ABCDEFG"; // 平台"EncodingAESKey"（43位）
$appId = "wx1234567890abcdef"; // 公众号AppID

// 3. 获取请求参数（加密模式多一个msg_signature参数）
$signature = $_GET['signature'] ?? '';
$timestamp = $_GET['timestamp'] ?? '';
$nonce = $_GET['nonce'] ?? '';
$echostr = $_GET['echostr'] ?? '';
$msgSignature = $_GET['msg_signature'] ?? ''; // 加密模式下的签名

// 4. 验证参数完整性
if (empty($signature) || empty($timestamp) || empty($nonce) || empty($echostr) || empty($msgSignature)) {
    exit('Invalid request: missing parameters');
}

// 5. 第一步：验证基础签名（与明文模式相同）
$tmpArr = array($token, $timestamp, $nonce);
sort($tmpArr, SORT_STRING);
$tmpStr = implode($tmpArr);
$generatedSignature = sha1($tmpStr);

if ($generatedSignature !== $signature) {
    exit('Validation failed: base signature not match');
}

// 6. 第二步：解密echostr（安全模式核心）
// 初始化加密类（参数：token, encodingAesKey, appId）
$pc = new WXBizMsgCrypt($token, $encodingAesKey, $appId);
$decryptEchostr = ''; // 用于接收解密后的字符串
// 调用VerifyURL方法解密（参数：msg_signature, timestamp, nonce, echostr, 解密结果）
$errCode = $pc->VerifyURL($msgSignature, $timestamp, $nonce, $echostr, $decryptEchostr);

// 7. 解密成功则返回解密结果，否则输出错误
if ($errCode == 0) {
    echo $decryptEchostr;
} else {
    // 错误码含义可参考errorCode.php（如-40001=签名错误，-40004=EncodingAESKey错误）
    exit("Decrypt failed, error code: $errCode");
}
?>

使用说明

• 微信平台配置时，“消息加解密方式”选择“安全模式”；
• EncodingAESKey需与平台生成的43位字符串完全一致；
• 解密失败时，根据错误码排查配置（如-40004通常是EncodingAESKey错误）。

六、调试与常见错误解决

验证失败时，可通过日志调试和针对性排查解决问题。

1. 日志调试代码（辅助排查）

<?php
/**
 * 带日志的调试版验证代码
 * 作用：记录参数和签名，快速定位错误原因
 */

$token = "my_wechat_token_123";

// 获取参数
$signature = $_GET['signature'] ?? '';
$timestamp = $_GET['timestamp'] ?? '';
$nonce = $_GET['nonce'] ?? '';
$echostr = $_GET['echostr'] ?? '';

// 初始化日志内容（记录时间和参数）
$log = "[" . date('Y-m-d H:i:s') . "]\n";
$log .= "请求参数: " . json_encode($_GET, JSON_UNESCAPED_UNICODE) . "\n";

// 参数校验
if (empty($signature) || empty($timestamp) || empty($nonce) || empty($echostr)) {
    $log .= "错误: 参数不完整\n";
    // 写入日志（确保./logs目录存在且可写）
    file_put_contents('./logs/wechat_verify.log', $log . "\n", FILE_APPEND);
    exit('Invalid request');
}

// 生成签名并记录
$tmpArr = array($token, $timestamp, $nonce);
sort($tmpArr, SORT_STRING);
$tmpStr = implode($tmpArr);
$generatedSignature = sha1($tmpStr);
$log .= "生成的签名: $generatedSignature\n";
$log .= "微信的签名: $signature\n";

// 验证签名
if ($generatedSignature === $signature) {
    $log .= "验证成功\n";
    file_put_contents('./logs/wechat_verify.log', $log . "\n", FILE_APPEND);
    echo $echostr;
} else {
    $log .= "验证失败: 签名不一致\n";
    file_put_contents('./logs/wechat_verify.log', $log . "\n", FILE_APPEND);
    exit('Validation failed');
}
?>

2. 常见错误及解决方法

七、总结

微信接口配置验证的核心是签名匹配，关键步骤包括：

1. 确保Token与平台配置一致；
2. 按字典序排序Token、timestamp、nonce并生成sha1签名；
3. 验证通过后返回纯净的echostr（明文或解密后）。

初学者可先从明文模式入手，熟悉流程后再过渡到安全模式，遇到问题时通过日志记录参数和签名，快速定位错误原因。