需先进入支付宝沙箱环境页面，在「沙箱应用」中获取自动生成的app_id和支付宝公钥（public_key），再用openssl生成2048位rsa2私钥（private_key）并上传对应公钥，配置时注意区分密钥用途、格式及网关地址。
怎么拿到支付宝沙箱的 APP_ID、PRIVATE_KEY 和 PUBLIC_KEY
沙箱环境的密钥不是在“开发者中心”首页直接生成的，得先进入「沙箱环境」页面，再点「沙箱应用」——那里会自动生成一对测试用的 APP_ID 和 RSA2 密钥对。注意：你看到的 PUBLIC_KEY 是支付宝公钥（用于验签），而你需要自己生成并上传的是你的应用私钥（PRIVATE_KEY）。
常见错误是把「支付宝公钥」当成「你的私钥」去用，结果调用 alipay.trade.pay 时一直报 INVALID_PARAMETER 或签名失败。实际流程是：
- 用 OpenSSL 生成自己的 RSA2 密钥对（2048 位，PKCS#8 格式）
- 把生成的
public key内容粘贴到沙箱应用页的「应用公钥」框里，点「设置」，支付宝会自动给你返回对应的「支付宝公钥」 - 把生成的
private key（去掉头尾注释、换行合并成一行）存为 PHP 可读的字符串或文件，后续传给 SDK 的private_key配置项
PHP SDK 初始化时必须设对这几个关键配置项
官方 SDK（alipay-easysdk）不接受明文密钥字符串直接传参，而是要求你提供路径或实现 AlipayCertClient。但大多数项目仍用老版 alipay-sdk-php（v3.x），它依赖数组配置。容易出错的是这几个字段：
-
app_id：必须是沙箱应用页显示的APP_ID，不是你的真实 APP_ID -
merchant_private_key：填你本地生成的私钥内容（不是文件路径！SDK 会自动 trim 换行和空格，但不能含-----BEGIN RSA PRIVATE KEY-----这类标记） -
alipay_public_key：填你在沙箱页面拿到的「支付宝公钥」，不是你自己生成的公钥 -
gatewayHost：沙箱必须设为https://openapi.alipaydev.com/gateway.do，漏掉dev就直连生产环境，支付会失败且扣真实余额
示例配置片段：
立即学习“PHP免费学习笔记（深入）”；
$config = [
'app_id' => '2021000123456789',
'merchant_private_key' => 'MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC7...',
'alipay_public_key' => 'MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAuUJ...',
'gatewayHost' => 'https://openapi.alipaydev.com/gateway.do',
'sign_type' => 'RSA2',
'debug' => true
];
调用 alipay.trade.page.pay 前必须检查参数合法性
沙箱下单最常卡在 invalid-app-id 或 invalid-signature，往往不是密钥问题，而是请求参数格式不对。重点核对：
-
out_trade_no必须是当前商户系统内唯一、纯数字或字母组合（不能含下划线、中文、空格），长度 ≤ 64 -
product_code沙箱只认FAST_INSTANT_TRADE_PAY，填错会返回ILLEGAL_ARGUMENT -
total_amount必须是字符串格式的两位小数（如"9.90"），不能是 float 或整数 -
subject不能为空，也不能含控制字符（\x00–\x1F）
调试建议：开启 SDK 的 debug 模式后，打印出最终拼出的待签名字符串（SDK 里叫 getSignContent() 返回值），手动用你的私钥验一下签名是否匹配，能快速定位是参数还是密钥问题。
沙箱买家账号登录不上？别试真实手机号
沙箱买家账号不是你注册支付宝的手机号。进入沙箱环境页后，右上角「沙箱账号」里有两个独立账号：buyer 和 seller，都是邮箱格式（如 buyer_2021000123456789@alipay.com），密码固定为 111111。用这个邮箱+密码在 https://authztest.alipay.com/ 登录，才能跳转到模拟支付页。
容易被忽略的一点：沙箱买家账户余额默认为 0，首次支付前需先点击「充值」按钮，充任意金额（比如 100 元），否则支付时提示「余额不足」——这不是接口错误，是沙箱账户状态没初始化。
