不能用 symfony2 直接对接百度开放平台，因其已停止维护（2016年终止安全支持），不支持 oauth2.0 pkce、tls 1.2+、json 严格错误处理及令牌自动刷新，且底层组件与现代 sdk（如 guzzle 7+）不兼容。
symfony2 已停止维护（2016年终止安全支持），直接对接百度开放平台 API 时，必须升级到 symfony >= 4.4（LTS）或 symfony >= 5.4（当前推荐）。强行在 symfony2 上集成现代 OAuth2 流程、JSON 响应处理和 HTTPS 客户端，会遭遇底层类废弃、TLS 版本不兼容、无 Guzzle 7+ 支持等硬性阻断。
为什么不能用 symfony2 直接对接百度开放平台？
百度开放平台所有新接口（如登录、地图、OCR、AI 能力）均强制要求：
-
OAuth2.0授权流程（含 PKCE），而symfony2的security组件不支持现代 PKCE 和code_challenge参数生成 - HTTPS 请求必须使用 TLS 1.2+，
symfony2默认的curl封装器无法可靠启用 TLS 1.2（尤其在 PHP 5.6 环境下） - 返回格式统一为 JSON，需
json_encode()/json_decode()的严格错误处理，symfony2的JsonResponse缺少JSON_THROW_ON_ERROR支持，易静默失败 - 百度 AccessToken 有效期为 30 天且需刷新，
symfony2无内置令牌持久化与自动刷新机制（如oauth2-client的RefreshTokenGrant）
推荐方案：用 Symfony 5.4+ + league/oauth2-client
实际落地最稳的方式是弃用 symfony2，新建一个轻量 Symfony 5.4+ 项目（哪怕只用 http-kernel 和 http-client 组件），再接入百度官方推荐的 PHP SDK 或标准 OAuth2 库。
- 安装依赖：
composer require league/oauth2-client symfony/http-client - 百度 OAuth2 配置项必须从控制台获取：
client_id、client_secret、redirect_uri（需与百度后台登记完全一致，含协议和尾部斜杠） - 不要手写
curl请求 ——symfony/http-client自动处理重试、超时、HTTP/2、cookie jar，且与百度返回的application/json;charset=UTF-8兼容性更好 - 百度返回的错误格式特殊（如
{"error":"invalid_grant","error_description":"code invalid"}），需在回调中显式检查$response->getStatusCode() !== 200并解析 body，不能只靠异常捕获
关键配置点：security.yaml 中的防火墙陷阱
如果你坚持复用旧项目结构（非 symfony2，而是较新版本），注意百度登录属于「第三方 OAuth2 登录」，不是传统表单登录，security.yaml 中不能配 form_login，而应使用 oauth 或自定义 guard 认证：
-
oauth方式需额外装hwi/oauth-bundle，但它对百度支持弱（默认只列 Google/GitHub），需手动注册BaiduResourceOwner类并重写getAuthorizationUrl()和getUserInformation() - 更可控的做法是：关闭
security的自动认证流程，用普通控制器接收code，调用http-client换取access_token，再请求https://openapi.baidu.com/rest/2.0/passport/users/getinfo拿用户数据，最后用$tokenStorage->setToken(...)手动登录 - 务必在
firewall中禁用csrf_token对百度回调 URL 的校验（百度不会传 CSRF），否则403 Forbidden
百度 Access Token 刷新的实际难点
百度不提供标准的 refresh_token 字段（旧版返回 refresh_token，新版多数接口已移除），这意味着：
- 你无法像 Google 那样长期维持登录态 —— 必须设计前端定时检测
expires_in，过期前引导用户重新授权 - 服务端缓存
access_token时，不能只依赖 TTL，要主动发起GET https://openapi.baidu.com/rest/2.0/oauth/2.0/token?grant_type=refresh_token&...并捕获{"error":"invalid_refresh_token"}错误，触发重新走授权码流程 - 百度的
access_token本质是短期会话凭证，不是长期身份令牌，别把它当 JWT 存数据库；建议存在 Redis 中，key 为baidu:token:{uid}，TTL 设为expires_in - 300（预留 5 分钟缓冲）
真正卡住人的从来不是“怎么发请求”，而是百度 OAuth2 的非标实现细节、Token 生命周期管理缺失，以及旧 Symfony 版本对现代安全协议的硬性不兼容。升级框架不是可选项，是必要前提。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
