如何使用 PHP 通过 Bearer Token 调用受身份验证保护的 API-php教程-PHP中文网

如何使用 PHP 通过 Bearer Token 调用受身份验证保护的 API

本文详解如何在 php 中正确调用需 bearer token 认证的 restful api，涵盖获取访问令牌、配置 curl 请求头、处理响应及常见错误排查，帮助开发者避免 404、401 等典型认证失败问题。

本文详解如何在 php 中正确调用需 bearer token 认证的 restful api，涵盖获取访问令牌、配置 curl 请求头、处理响应及常见错误排查，帮助开发者避免 404、401 等典型认证失败问题。

在实际开发中，许多第三方酒店预订类 API（如 HyperGuest）不再支持基础用户名/密码（Basic Auth）直连，而是采用更安全的 OAuth 2.0 Bearer Token 认证机制。你遇到的 404 Url not found 错误，表面是路径问题，实则往往源于未正确完成认证流程——API 端在未验证 Token 有效性时，可能统一返回 404（而非 401），以避免泄露接口存在性信息。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

✅ 正确调用流程：两步认证法

第一步：获取 Access Token
需先向认证端点（如 /oauth/token 或 /auth/login）发送含用户名、密码的 POST 请求，换取短期有效的 Bearer Token。该步骤通常需 Content-Type: application/json 及 Authorization: Basic 或直接提交 client_id/client_secret。

// 示例：获取 Token（需替换为真实认证端点）
$auth_url = 'https://api.hyperguest.io/oauth/token';
$credentials = [
    'username' => 'your_username',
    'password' => 'your_password',
    'grant_type' => 'password'
];

$curl = curl_init();
curl_setopt_array($curl, [
    CURLOPT_URL => $auth_url,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POST => true,
    CURLOPT_POSTFIELDS => json_encode($credentials),
    CURLOPT_HTTPHEADER => [
        'Content-Type: application/json',
        'Accept: application/json'
    ]
]);

$response = curl_exec($curl);
$http_code = curl_getinfo($curl, CURLINFO_HTTP_CODE);
curl_close($curl);

if ($http_code === 200) {
    $token_data = json_decode($response, true);
    $access_token = $token_data['access_token'] ?? null;
} else {
    throw new Exception("Token fetch failed: HTTP {$http_code}");
}

第二步：携带 Token 调用业务接口
将获取到的 access_token 放入请求头 Authorization: Bearer ，再发起目标 API 请求（如查询房态、下单等）。注意：务必确认目标 URL 是否正确（你原代码中 https://api.hyperguest.com 已迁移至 https://api.hyperguest.io，域名变更导致 404）。

$api_url = 'https://api.hyperguest.io/hg-apitude/hotel-api/1.0/checkrates/';

$curl = curl_init($api_url);
curl_setopt_array($curl, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_FOLLOWLOCATION => true,
    CURLOPT_TIMEOUT => 30,
    CURLOPT_HTTPHEADER => [
        'Accept: application/json',
        'Authorization: Bearer ' . $access_token, // 关键：Bearer + 空格 + Token
        'Content-Type: application/json'
    ]
]);

$result = curl_exec($curl);
$http_code = curl_getinfo($curl, CURLINFO_HTTP_CODE);
$error = curl_error($curl);
curl_close($curl);

if ($error) {
    echo "cURL Error: {$error}";
} elseif ($http_code !== 200) {
    echo "API Error ({$http_code}): " . $result;
} else {
    $data = json_decode($result, true);
    print_r($data);
}

⚠️ 关键注意事项

域名与端点校验：始终核对文档中的 Base URL（如 hyperguest.io ≠ hyperguest.com），拼写或协议（HTTP vs HTTPS）错误直接导致 404。
Token 有效期：Bearer Token 通常有较短过期时间（如 1 小时），生产环境需实现自动刷新逻辑，避免频繁重新登录。
错误响应优先级：
- 401 Unauthorized → Token 无效/过期/缺失；
- 403 Forbidden → Token 有效但权限不足；
- 404 Not Found → 先检查 URL 是否准确，再确认是否因未认证被网关拦截（部分 API 对未认证请求统一返回 404）。
安全性实践：
- Token 切勿硬编码或提交至 Git；应存于环境变量或加密配置文件；
- 使用 curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, true) 启用证书验证；
- 敏感凭证（如 $my_user）需严格过滤和转义，防范注入攻击。