先说几个关键点。OAuth 2.0的授权码模式，特别是PHP实现，坑其实不少。很多新手一上来就踩，要么是URL拼错了，要么是安全没做到位。今天咱就把它掰开揉碎了讲清楚。
PHP怎么生成合法的授权请求URL
要生成一个合法的授权请求URL，几个关键参数是必须带的：response_type=code、client_id、redirect_uri 和 state。一个都不能少。特别是那个 state 参数，很多人觉得麻烦就省略了，这直接撕开了CSRF攻击的口子，非常危险。
至于 redirect_uri，这个坑最常见。它必须和你在OAuth提供方（比如微信、自建授权服务器）后台注册的地址完全一致，差一个字符都不行。问题出在哪？
- 最典型的错误就是
invalid_redirect_uri，或者跳转回来发现没有code参数。原因多半是URL编码不一致，比如用urlencode()处理了中文或特殊字符，或者协议(http/https)、端口、路径大小写没对上。 redirect_uri要和后台配置一字不差，包括末尾的斜杠。比如/callback和/callback/就是两个不同的东西，配错了直接拒。state参数最佳实践是生成一个随机字符串，存进$_SESSION，回调时再拿出来比对，就别省这个步骤了。- 另外，微信这类平台对
scope参数有严格限制，比如扫码登录必须是snsapi_login，静默授权是snsapi_base，填错了直接报错。
回调页怎么安全地换 token
拿到授权回调的 code 后，千万别想着在前端拼个URL就去请求 /token 接口。这是大忌！client_secret 这种敏感信息暴露在浏览器里，等于把家底都亮出来了。
正确的做法是，在服务端发起一个POST请求去换token。这里有几个关键点：
- 请求头一定要设置
Content-Type: application/x-www-form-urlencoded，参数用http_build_query()拼装，别自己手写字符串，容易出错。 - 回调时，必须校验
$_GET['state'] === $_SESSION['oauth2state']，一旦不匹配，立刻exit，拒绝执行后续逻辑。 - POST请求要使用
curl或file_get_contents+stream_context_create，绝对不能用前端JS发起。 - 微信返回的
access_token有效期只有2小时，并且调用频率有限，别没事就去刷。 - 返回的响应体是JSON格式，用
json_decode($res, true)解析，并且要检查是否有errcode字段（这是微信特有的错误标识）。
用 league/oauth2-client 库时要注意什么
这个库确实封装了很多通用流程，但遇到微信这种“非标准”实现，就得自己动手了。比如，微信的 /token 接口返回的字段名是 access_token，但没 expires_in 字段，你得自己算；也不返回 refresh_token，因为微信压根不支持。
碰到这种情况，你得继承 GenericProvider 并重写 getAccessToken() 方法，或者手动补全缺失的字段。
- 安装命令是
composer require league/oauth2-client，别忘了引入autoload。 redirectUri必须是绝对URL，带上http://或https://，相对路径会直接失败。- 微信的授权地址是
https://open.weixin.qq.com/connect/qrconnect，不是通用的/oauth/authorize。 - 调试时，可以在代码里临时加上
error_log(print_r($response, true), 3, '/tmp/oauth.log')，把原始响应打印到日志文件，便于排查问题。
为什么拿到 token 还是调不通资源接口
很多人在这一步卡住，最容易被忽略的就是Authorization请求头的格式。必须是 Bearer {token}，中间有空格，而且 Bearer 首字母必须大写。写成 bearer、Bearer: 或者漏了空格，都会被服务器拒绝。
另外，微信的用户信息接口（https://api.weixin.qq.com/sns/userinfo）比较特殊，它要求把 access_token 和 openid 当作 query 参数传，而不是放在请求头里。这是典型的非RFC标准实现，需要注意。
- 调资源接口前，强烈建议先用
curl -H "Authorization: Bearer xxx"手动在命令行里测通，排除PHP环境或代码问题。 - 微信的
openid是在换token成功后才会返回的，得从/token接口的响应里拿，别指望在授权回调里直接得到。 - 如果是自建OAuth服务，比如用Spring Security OAuth，注意它的
accessTokenValiditySeconds默认是12小时，但微信只认2小时，两者有差异。
说到底，授权码模式真正的复杂点，不是PHP代码怎么写，而是各个平台对OAuth 2.0的“灵活实现”。微信删字段、GitLab改scope规则、自建服务配错redirect_uri白名单。每次对接新平台，最稳妥的方法是先拿curl手动走一遍完整流程，比闷头写代码高效得多。
