微信公众号消息接收核心是正确获取并解析XML：用file_get_contents("php://input")读取原始POST数据，清除BOM后用simplexml_load_string()解析，注意字段对调、CDATA包裹及严格验证签名。
微信公众号消息用 PHP 接收，核心就两件事：过验证、读 XML。其他都是在这基础上做分支处理，没玄学，但错一个字符就收不到消息。
怎么用 file_get_contents("php://input") 正确接收 POST 消息
微信服务器推送用户消息时，走的是纯 XML POST 请求，不是表单提交，所以 $_POST 为空，$GLOBALS['HTTP_RAW_POST_DATA'] 在 PHP 7.0+ 已废弃且默认关闭。唯一可靠方式就是：
php
$postStr = file_get_contents("php://input");
if (empty($postStr)) {
// 微信可能发了空请求，或 Nginx/Apache 配置拦截了 raw body（如某些安全模块）
exit;
}
- 必须在脚本开头立即执行，不能有任何输出（包括 BOM、空格、echo）
- 如果返回空字符串，先检查 Web 服务器是否禁用了
php://input（少见），更常见的是 Nginx 的client_max_body_size太小（图文消息可能超 2MB），或启用了always_populate_raw_post_data干扰 - 不要试图用
json_decode()或parse_str()，它根本不是 JSON 或 query string
为什么 simplexml_load_string() 解析老失败
XML 解析失败通常不是代码问题，而是数据本身带干扰：
- 微信发来的 XML 默认含 UTF-8 BOM（哪怕你肉眼看不出来），导致
simplexml_load_string()报 “String could not be parsed as XML” - 解决办法是先清理 BOM 和不可见控制符：
php
$postStr = file_get_contents("php://input");
$postStr = trim($postStr);
$postStr = preg_replace('/^\xEF\xBB\xBF/', '', $postStr); // 去 BOM
$arr = simplexml_load_string($postStr, 'SimpleXMLElement', LIBXML_NOCDATA);
if ($arr === false) {
error_log("XML parse failed: " . $postStr);
exit;
}
-
LIBXML_NOCDATA很关键：它让 CDATA 内容不被转义成对象子节点，而是直接作为字符串值（比如$arr->Content就是纯文本，不是对象） - 别漏掉
(string)强转：即使解析成功，$arr->MsgType是 SimpleXMLElement 对象，直接== 'text'可能类型不匹配，稳妥写法是(string)$arr->MsgType
回复消息时 ToUserName 和 FromUserName 怎么填才不翻车
这是新手最常反向搞混的点：微信推送过来的 XML 里，ToUserName 是你的公众号原始 ID（形如 gh_xxx），FromUserName 是用户的 openid；而你回复时，这两个字段要**对调**：
php $fromUser = (string)$arr->FromUserName; $toUser = (string)$arr->ToUserName; $content = '收到啦！';$xmlTpl = "
%s "; echo sprintf($xmlTpl, $fromUser, $toUser, time(), $content);
-
CreateTime必须是整型时间戳（秒级），不是日期字符串 - 所有用户输入内容（比如
$arr->Content）必须进CDATA包裹，否则含>会破坏 XML 结构 - 回复前别 echo 其他任何东西（包括调试
var_dump），否则 XML 被污染，微信返回“无法提供服务”
验证阶段为啥死活过不了 —— sha1() 排序细节决定成败
GET 验证失败，90% 是因为排序逻辑不对：
- 微信要求把
$token、$_GET['timestamp']、$_GET['nonce']三个字符串按字典序升序排列后拼接，不是按变量名排，也不是按传入顺序 - 错误写法：
$tmpStr = $token . $timestamp . $nonce; - 正确写法：
php $token = 'mytoken123'; // 必须和公众平台后台填的一模一样（区分大小写、空格） $tmpArr = [$token, $_GET['timestamp'], $_GET['nonce']]; sort($tmpArr, SORT_STRING); // 明确指定 SORT_STRING $tmpStr = implode($tmpArr); $signature = sha1($tmpStr);if ($signature === $_GET['signature']) { echo $_GET['echostr']; exit; }
-
sort()默认是SORT_REGULAR，对字符串排序可能出意外，务必显式加SORT_STRING - token 填错、大小写不一致、多一个空格，都会导致签名不匹配；建议把 token 存配置文件，别硬编码在 if 判断里
微信消息流看着绕，其实就两条线：GET 验证走一次，之后全是 POST XML 来回。只要确保入口脚本干净、XML 解析稳、字段填对、不乱输出，剩下的就是按 MsgType 和 Event 写业务逻辑——那些反而不难。
