应使用 filter_input() 过滤参数、urlencode() 编码后拼接 URL，cURL 需设置 CURLOPT_RETURNTRANSFER、超时及 SSL 验证，Guzzle 要显式配置 timeout 并用 query/json 选项安全传参。
PHP 怎么安全获取 URL 参数并传给 API 请求
直接用 $_GET 或 $_POST 读参数再拼进 cURL 是常见但危险的做法——容易触发 SQL 注入、XSS 或服务端路径遍历。必须先过滤、再验证、最后编码。
- 用
filter_input()替代裸读$_GET['id']，例如：filter_input(INPUT_GET, 'user_id', FILTER_SANITIZE_NUMBER_INT) - 对字符串类参数（如
q、token）加FILTER_SANITIZE_SPECIAL_CHARS，再用urlencode()包一层才塞进 URL - 避免把原始参数拼进
curl_setopt($ch, CURLOPT_URL, "https://api.com/?id=".$_GET['id'])—— 这是典型漏洞点 - 如果 API 要求 JSON Body 提交参数，用
json_encode()+ 设置Content-Type: application/json，别用http_build_query()混搭
cURL 带参数调用第三方 API 的最小可靠写法
很多教程直接贴一段“能跑就行”的 cURL 示例，但线上出问题往往卡在超时、SSL 验证或 header 缺失上。
- 必须显式设置
CURLOPT_RETURNTRANSFER => true，否则curl_exec()返回bool(true)而不是响应体 - 加
CURLOPT_TIMEOUT => 10和CURLOPT_CONNECTTIMEOUT => 3，防止上游挂掉拖垮你的 PHP 进程 - 国内访问国外 API 时，记得关 SSL 验证（仅测试环境）：
CURLOPT_SSL_VERIFYPEER => false；生产环境请配好CURLOPT_CAINFO - 带参数的 GET 请求示例：
$url = "https://api.example.com/v1/users?id=" . urlencode($user_id); $ch = curl_init(); curl_setopt_array($ch, [ CURLOPT_URL => $url, CURLOPT_RETURNTRANSFER => true, CURLOPT_TIMEOUT => 10 ]); $response = curl_exec($ch);
用 Guzzle 发送带参请求比原生 cURL 更稳吗
是的，但前提是别滥用 GuzzleHttp\Client 的默认配置。它默认不设超时，也不校验证书（PHP 8.1+ 默认启用），容易在线上静默失败。
- 初始化 Client 时必须传
timeout和connect_timeout：$client = new \GuzzleHttp\Client([ 'timeout' => 10, 'connect_timeout' => 3 ]); - GET 带参推荐用
query选项自动编码：$client->get('https://api.com/search', ['query' => ['q' => $keyword]]) - POST JSON 请求别手动拼 body：
['json' => ['name' => $name, 'age' => $age]]会自动处理序列化和 header - 注意 Guzzle 7 默认返回
Psr\Http\Message\ResponseInterface，取内容得调$response->getBody()->getContents()，不是直接 echo $response
参数传错、API 返回 400 或空响应时怎么快速定位
别急着改代码，先确认是不是参数本身或传输环节出了问题。90% 的“调不通”其实卡在请求发出前。
立即学习“PHP免费学习笔记（深入）”；
- 打印最终发出的完整 URL（GET）或请求体（POST）：
echo $url;或var_dump($post_data); - 开启 cURL 日志：
curl_setopt($ch, CURLOPT_VERBOSE, true)，配合fopen('php://temp', 'w+')捕获握手细节 - Guzzle 可加中间件记录请求/响应：
new \GuzzleHttp\Middleware\log(...)，但别在生产环境长期开着 - 最常被忽略的一点：检查 API 文档要求的参数名是否大小写敏感（比如
userId≠userid），以及是否强制要求某个 header（如X-API-Key）
