PHP怎么实现OAuth2.0授权码模式_PHP完整授权流程【操作】

先说几个关键点。OAuth 2.0的授权码模式，特别是PHP实现，坑其实不少。很多新手一上来就踩，要么是URL拼错了，要么是安全没做到位。今天咱就把它掰开揉碎了讲清楚。

PHP怎么生成合法的授权请求URL

要生成一个合法的授权请求URL，几个关键参数是必须带的：response_type=code、client_id、redirect_uri 和 state。一个都不能少。特别是那个 state 参数，很多人觉得麻烦就省略了，这直接撕开了CSRF攻击的口子，非常危险。

至于 redirect_uri，这个坑最常见。它必须和你在OAuth提供方（比如微信、自建授权服务器）后台注册的地址完全一致，差一个字符都不行。问题出在哪？

• 最典型的错误就是 invalid_redirect_uri，或者跳转回来发现没有 code 参数。原因多半是URL编码不一致，比如用 urlencode() 处理了中文或特殊字符，或者协议(http/https)、端口、路径大小写没对上。
• redirect_uri 要和后台配置一字不差，包括末尾的斜杠。比如 /callback 和 /callback/ 就是两个不同的东西，配错了直接拒。
• state 参数最佳实践是生成一个随机字符串，存进 $_SESSION，回调时再拿出来比对，就别省这个步骤了。
• 另外，微信这类平台对 scope 参数有严格限制，比如扫码登录必须是 snsapi_login，静默授权是 snsapi_base，填错了直接报错。

回调页怎么安全地换 token

拿到授权回调的 code 后，千万别想着在前端拼个URL就去请求 /token 接口。这是大忌！client_secret 这种敏感信息暴露在浏览器里，等于把家底都亮出来了。

正确的做法是，在服务端发起一个POST请求去换token。这里有几个关键点：

• 请求头一定要设置 Content-Type: application/x-www-form-urlencoded，参数用 http_build_query() 拼装，别自己手写字符串，容易出错。
• 回调时，必须校验 $_GET['state'] === $_SESSION['oauth2state']，一旦不匹配，立刻 exit，拒绝执行后续逻辑。
• POST请求要使用 curl 或 file_get_contents + stream_context_create，绝对不能用前端JS发起。
• 微信返回的 access_token 有效期只有2小时，并且调用频率有限，别没事就去刷。
• 返回的响应体是JSON格式，用 json_decode($res, true) 解析，并且要检查是否有 errcode 字段（这是微信特有的错误标识）。

用 league/oauth2-client 库时要注意什么

这个库确实封装了很多通用流程，但遇到微信这种“非标准”实现，就得自己动手了。比如，微信的 /token 接口返回的字段名是 access_token，但没 expires_in 字段，你得自己算；也不返回 refresh_token，因为微信压根不支持。

碰到这种情况，你得继承 GenericProvider 并重写 getAccessToken() 方法，或者手动补全缺失的字段。

• 安装命令是 composer require league/oauth2-client，别忘了引入 autoload。
• redirectUri 必须是绝对URL，带上 http:// 或 https://，相对路径会直接失败。
• 微信的授权地址是 https://open.weixin.qq.com/connect/qrconnect，不是通用的 /oauth/authorize。
• 调试时，可以在代码里临时加上 error_log(print_r($response, true), 3, '/tmp/oauth.log')，把原始响应打印到日志文件，便于排查问题。

为什么拿到 token 还是调不通资源接口

很多人在这一步卡住，最容易被忽略的就是Authorization请求头的格式。必须是 Bearer {token}，中间有空格，而且 Bearer 首字母必须大写。写成 bearer、Bearer: 或者漏了空格，都会被服务器拒绝。

另外，微信的用户信息接口（https://api.weixin.qq.com/sns/userinfo）比较特殊，它要求把 access_token 和 openid 当作 query 参数传，而不是放在请求头里。这是典型的非RFC标准实现，需要注意。

• 调资源接口前，强烈建议先用 curl -H "Authorization: Bearer xxx" 手动在命令行里测通，排除PHP环境或代码问题。
• 微信的 openid 是在换token成功后才会返回的，得从 /token 接口的响应里拿，别指望在授权回调里直接得到。
• 如果是自建OAuth服务，比如用Spring Security OAuth，注意它的 accessTokenValiditySeconds 默认是12小时，但微信只认2小时，两者有差异。

说到底，授权码模式真正的复杂点，不是PHP代码怎么写，而是各个平台对OAuth 2.0的“灵活实现”。微信删字段、GitLab改scope规则、自建服务配错redirect_uri白名单。每次对接新平台，最稳妥的方法是先拿curl手动走一遍完整流程，比闷头写代码高效得多。