微信公众号消息接收核心是正确获取并解析xml：用file_get_contents("php://input")读取原始post数据，清除bom后用simplexml_load_string()解析，注意字段对调、cdata包裹及严格验证签名。
微信公众号消息用 PHP 接收，核心就两件事：过验证、读 XML。其他都是在这基础上做分支处理，没玄学，但错一个字符就收不到消息。
怎么用 file_get_contents("php://input") 正确接收 POST 消息
微信服务器推送用户消息时，走的是纯 XML POST 请求，不是表单提交，所以 $_POST 为空，$GLOBALS['HTTP_RAW_POST_DATA'] 在 PHP 7.0+ 已废弃且默认关闭。唯一可靠方式就是：
php
$postStr = file_get_contents("php://input");
if (empty($postStr)) {
// 微信可能发了空请求，或 Nginx/Apache 配置拦截了 raw body（如某些安全模块）
exit;
}
- 必须在脚本开头立即执行，不能有任何输出（包括 BOM、空格、echo）
- 如果返回空字符串，先检查 Web 服务器是否禁用了
php://input（少见），更常见的是 Nginx 的client_max_body_size太小（图文消息可能超 2MB），或启用了always_populate_raw_post_data干扰 - 不要试图用
json_decode()或parse_str()，它根本不是 JSON 或 query string
为什么 simplexml_load_string() 解析老失败
XML 解析失败通常不是代码问题，而是数据本身带干扰：
- 微信发来的 XML 默认含 UTF-8 BOM（哪怕你肉眼看不出来），导致
simplexml_load_string()报 “String could not be parsed as XML” - 解决办法是先清理 BOM 和不可见控制符：
php
$postStr = file_get_contents("php://input");
$postStr = trim($postStr);
$postStr = preg_replace('/^\xEF\xBB\xBF/', '', $postStr); // 去 BOM
$arr = simplexml_load_string($postStr, 'SimpleXMLElement', LIBXML_NOCDATA);
if ($arr === false) {
error_log("XML parse failed: " . $postStr);
exit;
}
-
LIBXML_NOCDATA很关键：它让 CDATA 内容不被转义成对象子节点，而是直接作为字符串值（比如$arr->Content就是纯文本，不是对象） - 别漏掉
(string)强转：即使解析成功，$arr->MsgType是 SimpleXMLElement 对象，直接== 'text'可能类型不匹配，稳妥写法是(string)$arr->MsgType
回复消息时 ToUserName 和 FromUserName 怎么填才不翻车
这是新手最常反向搞混的点：微信推送过来的 XML 里，ToUserName 是你的公众号原始 ID（形如 gh_xxx），FromUserName 是用户的 openid；而你回复时，这两个字段要**对调**：
<tousername></tousername><fromusername></fromusername>
php
$fromUser = (string)$arr->FromUserName;
$toUser = (string)$arr->ToUserName;
$content = '收到啦！';
<p>$xmlTpl = "<xml></p><ToUserName><![CDATA[%s]]></ToUserName><FromUserName><![CDATA[%s]]></FromUserName><CreateTime>%s</CreateTime><MsgType><![CDATA[text]]></MsgType><Content><![CDATA[%s]]></Content></xml>";
<p>echo sprintf($xmlTpl, $fromUser, $toUser, time(), $content);</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/ai/2687" title="创伴"><img
src="https://img.php.cn/upload/ai_manual/001/246/273/177086639828398.png" alt="创伴" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/ai/2687" title="创伴">创伴</a>
<p>专为内容创作者打造的AI创作工具，覆盖选题灵感、脚本创作、素材生成到智能发布</p>
</div>
<a href="/ai/2687" title="创伴" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div>-
CreateTime必须是整型时间戳（秒级），不是日期字符串 - 所有用户输入内容（比如
$arr->Content）必须进CDATA包裹，否则含<code>>会破坏 XML 结构 - 回复前别 echo 其他任何东西（包括调试
var_dump），否则 XML 被污染，微信返回“无法提供服务”
验证阶段为啥死活过不了 —— sha1() 排序细节决定成败
GET 验证失败，90% 是因为排序逻辑不对：
- 微信要求把
$token、$_GET['timestamp']、$_GET['nonce']三个字符串按字典序升序排列后拼接，不是按变量名排，也不是按传入顺序 - 错误写法：
$tmpStr = $token . $timestamp . $nonce; - 正确写法：
php
$token = 'mytoken123'; // 必须和公众平台后台填的一模一样（区分大小写、空格）
$tmpArr = [$token, $_GET['timestamp'], $_GET['nonce']];
sort($tmpArr, SORT_STRING); // 明确指定 SORT_STRING
$tmpStr = implode($tmpArr);
$signature = sha1($tmpStr);
<p>if ($signature === $_GET['signature']) {
echo $_GET['echostr'];
exit;
}</p>-
sort()默认是SORT_REGULAR，对字符串排序可能出意外，务必显式加SORT_STRING - token 填错、大小写不一致、多一个空格，都会导致签名不匹配；建议把 token 存配置文件，别硬编码在 if 判断里
微信消息流看着绕，其实就两条线：GET 验证走一次，之后全是 POST XML 来回。只要确保入口脚本干净、XML 解析稳、字段填对、不乱输出，剩下的就是按 MsgType 和 Event 写业务逻辑——那些反而不难。
立即学习“PHP免费学习笔记（深入）”；
