WordPress 网站接入微信支付完整教程：公众号认证、商户号、APIv3 密钥与支付回调

一、先把费用和难度说清楚

如果你已经有同主体、已经认证的服务号和微信支付商户号，接入成本会低很多；如果什么都没有，就要把账号申请、审核等待和每年维护都算进去。

二、接入前需要准备哪些账号和资料

• 真实有效的营业执照和经营主体资料。
• 法定代表人或经营者身份资料、管理员微信和可用手机号。
• 结算账户资料。对公还是经营者个人银行卡，以主体类型和申请页面要求为准。
• 可以正常访问的正式网站，包含商品或服务内容、联系方式、用户协议、隐私政策和退款说明。
• 已经安装并启用、明确支持微信支付接口的 WordPress 支付插件。

公众号、服务号和小程序怎么选

如果你只做电脑端扫码，不要因为看到别人教程有 AppSecret 就盲目填写；如果要做微信内网页支付，也不要只开通 Native。先把“用户从哪里打开页面、用什么方式付款”确定下来，再选账号和产品。

三、认证公众号并申请微信支付商户号

1. 注册公众号并完成微信认证

1. 进入微信公众平台，使用没有注册过其他公众平台账号的邮箱创建账号。
2. 按真实业务选择账号类型。需要在微信内网页调用支付时，通常选择服务号，并确认当前主体具备相应能力。
3. 填写企业或个体工商户资料，绑定管理员微信。
4. 进入微信认证流程，提交营业执照、联系人、主体证明等材料，并按页面支付认证审核费。
5. 认证通过后记录公众号的 AppID。AppSecret 只在插件或授权流程明确要求时使用。

2. 申请微信支付商户号

1. 使用真实主体资料进入微信支付商户申请流程。
2. 填写经营类目、网站地址、商品或服务说明、联系人和结算账户。
3. 按要求完成账户验证、协议签署和管理员确认。
4. 审核通过后进入商户平台，记录 商户号 mchid。

申请前先打开网站逐页检查：域名能否正常访问，商品或服务说明是否真实，价格和交付方式是否清楚，是否有联系方式、用户协议、隐私政策和退款说明。平台要求补充材料时，按提示补齐原件或清晰扫描件，不要用与当前主体无关的截图代替。

公众号认证的 300 元审核费和微信支付商户号的交易费率是两件事。不要看到“商户号申请”就以为已经包含公众号年审，也不要把支付手续费写成固定不变的数字。

四、关联 AppID 并开通需要的支付产品

1. 登录微信支付商户平台，进入产品或 AppID 账号管理区域。
2. 添加公众号或小程序的 AppID，并核对双方主体是否一致。
3. 回到公众平台或对应管理员微信完成关联确认。只在商户平台单方面添加，通常还不算最终完成。
4. 按网站场景开通支付产品：电脑端展示二维码优先检查 Native 支付；微信内网页检查 JSAPI 支付；外部手机浏览器再判断是否需要 H5 支付。
5. 等待平台同步后，再到插件后台测试下单。

五、设置 APIv3 密钥、证书和验签资料

支付插件要向微信支付发起下单请求，还要验证微信支付发来的回调，因此不仅要知道商户号，还必须配置签名和验签需要的密钥资料。

1. 设置 APIv3 密钥

1. 进入商户平台的账户中心或 API 安全设置。
2. 按平台要求设置 APIv3 密钥，并使用密码管理器离线保存。
3. 不要把 APIv3 密钥理解为登录密码，也不要和旧版 APIv2 密钥混用。
4. 如果插件字段只写“API 密钥”，先看插件文档确认它要的是 APIv2 还是 APIv3。

2. 准备商户 API 证书或微信支付公钥资料

不同插件可能采用不同验签方案。常见字段包括商户 API 证书序列号、商户私钥文件 apiclient_key.pem、平台证书，或微信支付公钥与公钥 ID。必须完全按照插件声明的接口版本填写，不能拿一个 PEM 文件随便替代另一个。

3. 私钥和证书文件放在哪里

• 优先使用插件提供的安全上传或系统密钥存储方式；不要把 PEM 文件传到 WordPress 媒体库。
• 需要手工放文件时，放在网站公开目录之外，并只给运行 PHP 的账户读取权限。
• 不要把私钥提交到 Git 仓库、聊天工具、工单附件或可以直接下载的备份目录。
• 备份必须加密并限制访问；更换插件、服务器或维护人员后，要清点旧副本并按流程轮换凭证。

六、在 WordPress 后台填写微信支付参数

不同支付插件的字段名称会略有区别，但核心参数通常可以按下表对应。只填写插件明确要求的字段，不要把不相关的 AppSecret、APIv2 密钥和 APIv3 密钥来回试。

七、配置支付回调和服务器安全规则

用户扫码成功只代表微信端付款完成，网站订单能否自动变成“已支付”，主要取决于异步回调是否被网站正确接收和验证。

• 回调地址必须使用正式域名和有效 HTTPS 证书。
• 回调不能要求登录、不能弹验证码、不能被维护页面或安全验证拦截。
• 不要把整个网站关闭防火墙。只针对插件明确的回调路径做最小范围放行。
• 收到回调后必须校验签名、商户号、AppID、订单号、金额和币种，再更新订单状态。
• 同一通知可能重复发送，程序必须做幂等处理，防止重复加余额、加积分、发货或开通会员。
• 日志不能记录完整私钥、APIv3 密钥、AppSecret 或用户敏感支付数据。

CDN、WAF 和安全插件具体怎么设置

1. 先从插件后台复制完整回调地址，记录准确路径，不要自己猜一个地址。
2. 保持全站防火墙开启，只对这个准确路径取消登录验证、验证码、人机挑战和 JavaScript 挑战。
3. 对回调路径关闭页面缓存、静态缓存和错误页替换，避免平台收到缓存内容而不是真实处理结果。
4. 不要限制回调只能由浏览器访问，也不要强制跳转到登录页、首页或移动端页面。
5. 放行后用插件测试功能或真实小额订单验证。只用浏览器打开看到页面，不代表 POST 回调一定能成功。

八、用真实小额订单完成上线验收

1. 确认公众号认证、AppID 关联、支付产品、商户号和接口凭证都处于可用状态。
2. 在网站创建一笔平台允许的真实小额订单，先测试电脑端 Native 扫码支付。
3. 如果启用了 JSAPI 或 H5，再分别使用微信内浏览器和手机外部浏览器测试。
4. 付款后检查 WordPress 订单是否自动变为已支付，会员、积分、余额或下载权限是否只发放一次。
5. 在微信支付商户平台核对金额、商户订单号、微信支付订单号和付款时间。
6. 再测试取消支付、支付超时、重复扫码、刷新支付页和重复通知。

九、常见问题怎么排查

1. 提示 AppID 与商户号没有关联

检查商户平台是否已经添加该 AppID，并在公众号或对应管理员侧完成确认；再核对双方主体和正式环境是否一致。刚完成关联时，也可能需要等待后台同步。

2. 提示签名错误或证书序列号错误

确认商户私钥和证书序列号是否来自同一张商户 API 证书；检查插件使用 APIv2 还是 APIv3；不要把平台证书、商户证书和微信支付公钥互相替换。

3. 能生成二维码，但扫码后提示当前商户不可用

检查 Native 支付产品是否已开通、商户号是否受限、经营类目是否符合当前交易内容，并核对网站是否误用了沙箱、测试或其他主体的配置。

4. 用户付款成功，网站订单仍未支付

优先检查回调地址 HTTP 状态码、HTTPS 证书、CDN/WAF/安全插件拦截、APIv3 解密和验签日志。再核对金额、订单号和商户号校验是否通过。

5. 电脑扫码正常，微信内网页不能支付

Native 和 JSAPI 是不同支付产品。检查是否开通 JSAPI、是否配置支付授权目录、用户身份是否通过公众号网页授权取得，以及插件是否真正支持该场景。

6. 换了插件以后原参数全部报错

先看新插件使用的平台证书模式还是微信支付公钥模式、使用 APIv2 还是 APIv3。不要把旧插件字段直接原样复制到新插件。必要时在测试环境重新整理一套配置映射再上线。