league oauth2 server 非开箱即用授权服务器，需手动集成路由、存储与响应处理；其 authorizationserver 仅负责核心校验，依赖密钥、clientrepository、accesstokenrepository、scoperepository 四个必需组件，缺一不可。
League OAuth2 Server 不是开箱即用的“授权服务器”，它是一套可组合的组件库，必须手动集成路由、存储、响应处理等环节；直接照抄文档示例大概率会卡在 InvalidGrantException 或 UnauthorizedClientException 上。
为什么 AuthorizationServer 构造后不能直接跑起来
它只负责核心逻辑校验（比如验证 client_id、检查 scope、生成 token），不处理 HTTP 请求解析、不写 session、不返回 JSON 响应——这些全得你自己补。
-
AuthorizationServer需要传入 4 个依赖对象：密钥（EncryptionKey）、client 存储（ClientRepositoryInterface）、access token 存储（AccessTokenRepositoryInterface）、scope 存储（ScopeRepositoryInterface），缺一不可 - 常见错误是传了空实现或 mock 类，结果在
respondToAccessTokenRequest()时抛出LogicException: Repository not set - PHP 8.1+ 下若用
openssl_pkey_get_private()加载私钥失败，AuthorizationServer会静默 fallback 到不安全的 HMAC 签名，但后续 token 校验会失败且无明确提示
respondToAccessTokenRequest() 报 InvalidGrantException 怎么定位
这个异常几乎覆盖所有授权码交换失败场景，但底层原因差异极大，不能只看异常消息。
- 检查请求是否带了
grant_type=authorization_code、code=xxx、redirect_uri=xxx（必须和申请 code 时完全一致，含末尾斜杠） - 确认
AuthCodeRepositoryInterface::getNewAuthCode()返回的对象中$authCode->getRedirectUri()和请求里的redirect_uri字符串完全相等（不是 parse_url 后比对） - 如果用了自定义
RefreshTokenRepository，注意getNewRefreshToken()必须返回一个实现了RefreshTokenEntityInterface的实例，而非数组或 stdClass - 时间相关失败：code 默认 5 分钟过期，且
AuthCodeEntityInterface::isExpired()返回true才算过期——别直接返回time() > $this->expiresAt，PHP DateTime 对象比较要用$now->getTimestamp() > $this->expiresAt->getTimestamp()
如何让 BearerTokenValidator 正确解析 Authorization Header
它默认只认 Bearer xxx 格式，且对空格、换行、编码极其敏感；前端发错格式就会跳过校验，直接报 401。
- 确保客户端发送的是
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9...，而不是Authorization: "Bearer xxx"（引号会进 header 值） - Apache 环境下，
Authorizationheader 可能被 mod_rewrite 吞掉，需在.htaccess加RewriteCond %{HTTP:Authorization} ^(.*)和RewriteRule .* - [e=HTTP_AUTHORIZATION:%1] - 使用
BearerTokenValidator前，必须先调用$server->enableGrantType(...)注册对应 grant，否则即使 token 有效，validateAuthorization()也会返回 false - 调试时可在
BearerTokenValidator::validateAuthorization()入口加error_log('Raw header: ' . $_SERVER['HTTP_AUTHORIZATION'] ?? 'none');查实际收到的值
最常被忽略的是 scope 校验链：从 AuthorizationServer::validateScopes() 到 ScopeRepository::getScopeEntityByIdentifier() 再到 ScopeEntityInterface::allowsGrantType()，任意一环返回 null 或 false 都会导致整个流程中断，且错误信息统一为 “The request is missing a required parameter, includes an invalid parameter value, or is otherwise malformed.”
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
