PAYATHON 2026

CURL 在 secure payment callback() 中无法触发 GA

支付阿杰

结论

支付平台的 callback() 通常是服务器之间的通知。PHP cURL 只负责发送 HTTP 请求，不会像浏览器那样解析页面并执行其中的 Google Analytics JavaScript。如果 analyticcode.php 返回的是 <script> 跟踪代码，即使 cURL 成功获取了页面，也不会产生 GA 访问或付款事件。

在普通页面测试中看到“实时”访客，不能证明 cURL 执行了 GA 代码。这次访问可能来自浏览器打开测试页面、页面重定向或其他并发请求，也可能是 analyticcode.php 自己实现了服务端上报。

更可靠的处理方式是先确认支付回调已经成功执行，再通过 GA4 Measurement Protocol 从服务端直接上报付款事件，不要让 cURL 去请求一个包含 GA JavaScript 的页面。

为什么 cURL 不能执行 GA 页面代码

下面的代码只会下载 analyticcode.php 返回的响应：

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'http://www.mywebsite.com/analyticcode.php/');
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_exec($ch);
curl_close($ch);

假设响应内容是：

<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX"></script>
<script>
gtag('event', 'purchase', {
    transaction_id: 'ORDER-123'
});
</script>

cURL 只会把这段内容作为普通文本接收。它不会：

  • 加载 gtag.js
  • 执行 JavaScript
  • 创建或读取浏览器 Cookie
  • 自动生成 GA 的 client_id
  • 发送 purchase 事件

支付回调通常也不包含真实用户的浏览器会话、Cookie、页面地址和来源信息，不能直接视为一次前端页面访问。

先确认回调和 cURL 是否真正成功

不要只根据 GA 实时报告判断。先记录回调是否进入、HTTP 请求状态和 cURL 错误：

<?php

error_log('Payment callback entered');

$url = 'https://www.mywebsite.com/analyticcode.php';

$ch = curl_init($url);

curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_FOLLOWLOCATION => true,
    CURLOPT_CONNECTTIMEOUT => 5,
    CURLOPT_TIMEOUT => 10,
    CURLOPT_HTTPHEADER => [
        'Accept: application/json',
    ],
]);

$response = curl_exec($ch);
$errorNo = curl_errno($ch);
$error = curl_error($ch);
$info = curl_getinfo($ch);

curl_close($ch);

error_log(json_encode([
    'curl_errno' => $errorNo,
    'curl_error' => $error,
    'http_code' => $info['http_code'] ?? null,
    'effective_url' => $info['url'] ?? null,
    'response' => $response,
], JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES));

需要逐项确认：

  1. 支付平台是否调用了正确的 callback URL。
  2. 回调是否通过签名验证，还是在验证失败后提前返回。
  3. HTTP 状态码是否为 200。
  4. 是否存在 DNS、连接超时、TLS 证书或防火墙错误。
  5. 服务器是否禁止访问自身域名，或者请求是否被 CDN、WAF 或鉴权规则拦截。
  6. analyticcode.php/ 末尾多出的 / 是否触发了其他路由或重定向。
  7. 回调是否因为异常、exit、事务回滚或超时，没有执行到 cURL 部分。

不要通过关闭证书校验来处理 HTTPS 错误：

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);

这会降低支付流程的安全性。应当修复服务器 CA 证书、域名证书链或网络配置。

使用 GA4 Measurement Protocol 上报付款

如果使用 GA4，可以在支付回调通过签名验证并确认付款成功后，直接发送 purchase 事件。

下面是一个基础示例：

<?php

$measurementId = 'G-XXXXXXXXXX';
$apiSecret = 'YOUR_API_SECRET';

$clientId = '1234567890.1234567890'; // 最好在创建订单时保存真实 GA client_id
$orderId = 'ORDER-123';
$amount = 99.90;
$currency = 'CNY';

$endpoint = sprintf(
    'https://www.google-analytics.com/mp/collect?measurement_id=%s&api_secret=%s',
    rawurlencode($measurementId),
    rawurlencode($apiSecret)
);

$payload = [
    'client_id' => $clientId,
    'events' => [
        [
            'name' => 'purchase',
            'params' => [
                'transaction_id' => $orderId,
                'value' => $amount,
                'currency' => $currency,
                'items' => [
                    [
                        'item_id' => 'PRODUCT-001',
                        'item_name' => 'Example product',
                        'price' => $amount,
                        'quantity' => 1,
                    ],
                ],
            ],
        ],
    ],
];

$ch = curl_init($endpoint);

curl_setopt_array($ch, [
    CURLOPT_POST => true,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_CONNECTTIMEOUT => 5,
    CURLOPT_TIMEOUT => 10,
    CURLOPT_HTTPHEADER => [
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode(
        $payload,
        JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES
    ),
]);

$response = curl_exec($ch);
$errorNo = curl_errno($ch);
$error = curl_error($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);

curl_close($ch);

if ($errorNo !== 0 || $httpCode < 200 || $httpCode >= 300) {
    error_log(json_encode([
        'message' => 'GA4 event delivery failed',
        'curl_errno' => $errorNo,
        'curl_error' => $error,
        'http_code' => $httpCode,
        'response' => $response,
        'order_id' => $orderId,
    ], JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES));
}

api_secret 只能保存在服务端，不能写入网页 JavaScript、公开仓库或日志。

正确关联付款与原始访客

随意生成 client_id 虽然也能形成事件，但不一定能将付款归因到原来的用户和会话。比较稳妥的流程如下：

  1. 用户进入网站时，通过 GA Cookie 或已有的前端跟踪逻辑取得 client_id。
  2. 创建订单时，将 client_id 和订单号一起保存到数据库。
  3. 支付回调到达后，根据订单号读取已保存的 client_id。
  4. 签名验证和金额核对通过后，上报 purchase。
  5. 将订单号用作 transaction_id，避免重复统计。

如果支付平台会重复发送回调，还需要做幂等处理：

if ($order['ga_purchase_reported']) {
    return;
}

sendPurchaseEvent($order);

markPurchaseAsReported($order['id']);

实际项目还要处理“事件已上报成功，但数据库标记失败”的情况。可以建立事件发送表，将 transaction_id 设为唯一键，再通过队列重试。

不要让统计上报阻塞支付回调

支付回调通常需要快速返回。Google Analytics 请求超时不能让订单一直停留在未支付状态，也不应导致支付平台反复重试整个业务流程。

建议按以下顺序处理：

验证回调签名
→ 校验订单号、金额和币种
→ 幂等更新支付状态
→ 写入待上报事件
→ 向支付平台返回成功
→ 后台任务发送 GA 事件并按需重试

如果项目暂时没有消息队列，至少要为 cURL 设置较短的超时时间，完整记录失败信息，并提供定时补偿任务。

还需要注意

GA 实时报告不适合作为程序调试器。事件可能延迟、被过滤或缺少参数，也可能出现在 DebugView、事件报告等其他位置。HTTP 请求成功只代表数据已被接收，不代表所有事件字段都有效。开发阶段应使用 GA4 的调试验证端点或 DebugView 检查数据格式。

另外，问题中的“Google Adsense code”和“Google Analytics”属于两个不同的产品。如果目标是统计订单，应发送 GA4 purchase 事件；如果目标是广告转化归因，可能还需要使用 Google Ads 的转化跟踪方案。无论页面中包含的是 AdSense 还是 Analytics JavaScript，仅通过服务器回调请求这个 PHP 页面，都无法模拟真实浏览器执行代码。

备注：内容仅供参考。