建议修改构造函数，通过validateSignature判断消息是否合法，避免因接口URL暴露后，被恶意提交无效消息数据。

[leosee]

public function __construct($token, $debug = FALSE) {
if($this->validateSignature($token)){
if ($this->isValid()) {
exit($_GET['echostr']);
}

$this->debug = $debug;
set_error_handler(array(&$this, 'errorHandler'));
// 设置错误处理函数，将错误通过文本消息回复显示

$xml = (array) simplexml_load_string($GLOBALS['HTTP_RAW_POST_DATA'], 'SimpleXMLElement', LIBXML_NOCDATA);

$this->request = array_change_key_case($xml, CASE_LOWER);
// 将数组键名转换为小写，提高健壮性，减少因大小写不同而出现的问题

}
}

[netputer]

原来不止验证网址时需要验证签名，每一次 POST 请求都有。感谢提醒。

[milkytsu]

正想问是不是验证通过后，每一次接收消息都要判断验证签名，原来确实是这样，我自己的代码也要改了，多谢！