阿里云php sdk需按服务安装独立包，如alibabacloud/client为统一入口；endpoint填错致requestexpired或forbidden；线上禁用硬编码密钥，推荐ram角色或cli配置；大文件须用分片上传。
composer require 阿里云 SDK 时提示 package not found
阿里云官方 PHP SDK 不是单个包，而是按服务拆分成多个独立包，直接 composer require aliyun/aliyun-openapi-php-sdk 会失败——这个仓库早已废弃，且未发布到 Packagist。
正确做法是按需安装具体服务的官方包，比如：
-
composer require alibabacloud/client（必须装，所有阿里云服务的统一入口） -
composer require alibabacloud/vod（视频点播） -
composer require alibabacloud/oss（对象存储） -
composer require alibabacloud/alidns（云解析）
注意：alibabacloud/client 是 v2 版本 SDK 的核心，它不包含任何具体服务逻辑，只是提供认证、请求分发和中间件能力；每个服务包都依赖它，但彼此解耦。
初始化 Client 时 region 和 endpoint 填错导致 RequestExpired 或 Forbidden
阿里云不同 Region 有不同 endpoint，且部分服务（如 OSS、VOD）在某些地域强制要求指定 endpoint，不能只靠 region 自动推导。填错最常见两种表现：RequestExpired（签名时间校验失败，本质是 endpoint 不匹配导致服务器时间偏差）、Forbidden（权限或 endpoint 权限不匹配）。
实操建议：
- 优先查官方文档对应服务的「接入地址」页，比如 OSS 的 endpoint 格式是
https://oss-<region>.aliyuncs.com</region>，不是https://oss.<region>.aliyuncs.com</region>（少个 – 就 403） - 不要硬编码
cn-shanghai这类字符串，用常量或配置项管理，避免拼写错误 - 开发环境建议开启调试模式：
AlibabaCloud::debug(true)，能看到真实发出的 URL 和签名参数，方便比对
使用 AccessKey 在线上环境被扫描泄露的风险
直接把 AccessKeyId 和 AccessKeySecret 写死在代码或 .env 里，一旦代码进 git、容器镜像公开、日志打印异常，密钥就等于裸奔。阿里云控制台会实时告警「密钥疑似泄露」，并自动禁用。
安全做法只有两条路：
- 线上 ECS 场景：用实例 RAM 角色，SDK 会自动从
http://100.100.100.200/latest/meta-data/ram/security-credentials/拉临时 Token，无需硬编码密钥 - 非 ECS 场景（如本地调试、K8s）：用阿里云 CLI 配置的
~/.alibabacloud/credentials文件，SDK 默认识别该路径，支持 profile 切换 - 绝对不要用
new Credentials('xxx', 'yyy')构造函数传明文密钥，除非是测试且确保不会提交
调用 OSS PutObject 大文件时内存爆掉或超时
默认 OssClient::putObject() 把整个文件读进内存再上传，100MB 文件就会吃掉 200MB+ 内存，还容易触发 PHP max_execution_time 或 nginx proxy_read_timeout。
必须改用分片上传：
- 小文件（putObject，简单可靠
- 大文件（≥5MB）：用
initiateMultipartUpload+uploadPart+completeMultipartUpload流式上传，每片可控制在 5–100MB - 别自己手写分片逻辑，用官方封装好的
OssClient::multiuploadFile()，它自动处理重试、断点续传和并发
示例：$ossClient->multiuploadFile($bucket, $object, $localFile, ['partSize' => 10 * 1024 * 1024])
阿里云 SDK 的坑不在语法，而在服务边界和部署上下文——region 对应哪个 endpoint、密钥在哪拿、大文件走哪条路径，这些信息散落在各服务文档里，又不报明确错误，只能靠日志和调试去对齐。