如何在 PHP 中正确使用 cURL 调用 REST API 获取访问令牌

本文详解 php curl 调用 oauth2 认证接口（如 `/auth/Token`）的常见错误与修复方法，重点解决因未 url 编码凭证、错误设置请求头或冗余选项导致的 “unauthorized” 响应问题。

在调用第三方 rest api（尤其是 OAuth2 授权端点如 https://api.touch.technology/auth/token）时，看似简单的 curl 请求常因细节疏漏返回 Unauthorized 错误。根本原因通常不是认证凭据本身无效，而是HTTP 请求格式不符合 API 服务端的严格解析要求。

以下是最关键的三处修正要点：

✅ 1. 必须对 client_id 和 client_secret 进行 URL 编码

API 服务器在解析 application/x-www-form-urlencoded 请求体时，会严格按 & 和 = 分割键值对。若 client_id 或 client_secret 包含特殊字符（如 /, +, @, 空格等），未编码将导致参数截断或解析失败，进而拒绝授权。
✅ 正确做法：使用 urlencode() 封装敏感字段：

CURLOPT_POSTFIELDS => http_build_query([   'grant_type'   => 'client_credentials',   'client_id'    => urlencode('your_client_id_here'),   'client_secret'=> urlencode('your_client_secret_here') ])

? 推荐使用 http_build_query() 替代手动拼接字符串——它自动处理所有键值的 URL 编码，并确保格式规范。

✅ 2. 移除冗余且易出错的配置项

原代码中存在两个典型错误：

• CURLOPT_CUSTOMREQUEST => “POST” 与 CURLOPT_POST => true 同时设置：cURL 会优先以 CUSTOMREQUEST 为准，但 POST 模式下该选项非必需，反而可能干扰默认行为；
• 手动添加 “content-type: x-www-form-urlencoded”（注意：这不是合法的 cURL 选项！应为 CURLOPT_HTTPHEADER 数组）；
  ✅ 修正后精简配置如下：

 "https://api.touch.technology/auth/token",   CURLOPT_POST           => true,   CURLOPT_RETURNTRANSFER => true,   CURLOPT_POSTFIELDS     => http_build_query([     'grant_type'   => 'client_credentials',     'client_id'    => urlencode('YOUR_CLIENT_ID'),     'client_secret'=> urlencode('YOUR_CLIENT_SECRET')   ]),   // 自动设置 Content-Type 头（cURL 5.6.0+ 默认行为，兼容性更佳） ]);  $response = curl_exec($curl); $httpCode = curl_getinfo($curl, CURLINFO_HTTP_CODE); curl_close($curl);  if ($httpCode === 200) {   $tokenData = json_decode($response, true);   echo "Access Token: " . $tokenData['access_token'] ?? 'Not found'; } else {   echo "HTTP Error: {$httpCode}nResponse: {$response}"; } ?>

✅ 3. 调试建议：先验证凭证有效性

在集成到 php 前，强烈建议使用在线工具（如 Hurl.it 或 Postman）手动构造相同请求：

立即学习“PHP免费学习笔记（深入）”；

• 方法：POST
• URL：https://api.touch.technology/auth/token
• Headers：Content-Type: application/x-www-form-urlencoded
• Body（x-www-form-urlencoded）：填入 grant_type, client_id, client_secret
  ✅ 若工具中能成功获取 token，则确认凭证有效，问题必在 PHP 请求构造环节；反之需检查账号权限或联系服务商。

⚠️ 注意事项总结

• ❌ 不要手动拼接 CURLOPT_POSTFIELDS 字符串（易遗漏编码）；
• ❌ 不要混用 CURLOPT_POST 和 CURLOPT_CUSTOMREQUEST；
• ❌ 不要将 header 字符串直接写在 curl_setopt_array() 的值位置（必须通过 CURLOPT_HTTPHEADER 设置）；
• ✅ 始终检查 curl_getinfo($curl, CURLINFO_HTTP_CODE) 判断真实 HTTP 状态码；
• ✅ 生产环境务必使用 try/catch + curl_error() 做异常兜底。

遵循以上规范，即可稳定、安全地完成 OAuth2 客户端凭证流（Client Credentials Flow）的 token 获取。