本文详解如何在curl post请求中正确将php变量（如$_get参数）嵌入json数据，避免因字符串拼接错误或未转义导致的api调用失败，并推荐使用json_encode()构造结构化请求体的最佳实践。
本文详解如何在curl post请求中正确将php变量（如$_get参数）嵌入json数据，避免因字符串拼接错误或未转义导致的api调用失败，并推荐使用json_encode()构造结构化请求体的最佳实践。
在PHP中向第三方API（如UPS Ship API）发送JSON格式的POST请求时，常见误区是试图在硬编码的JSON字符串中直接插入PHP变量并混用echo或json_encode()——例如写成 "TrackingNumber": "echo json_encode($nam);"。这种写法不仅语法错误（echo是语句，不能出现在字符串内），更严重的是：它将PHP代码当作纯文本拼接到JSON中，导致最终发送的不是合法JSON，而是包含无效字符的乱码，从而被API拒绝。
✅ 正确做法是分离“数据构建”与“序列化”：先用PHP数组组织请求结构，再统一调用json_encode()生成合规、安全的JSON字符串。这不仅能自动处理引号转义、特殊字符（如中文、斜杠、控制符）和空值，还能避免SQL注入式逻辑漏洞（如恶意输入破坏JSON结构）。
以下为优化后的完整示例（已适配UPS Label Recovery API）：
<?php
// 1. 安全获取并过滤输入（关键！）
$trackNumber = filter_input(INPUT_GET, 'tracknumber', FILTER_SANITIZE_STRING);
if (empty($trackNumber)) {
die('Error: Missing or invalid tracknumber parameter.');
}
// 2. 构建PHP关联数组（语义清晰、易于维护）
$data = [
'LabelRecoveryRequest' => [
'LabelSpecification' => [
'HTTPUserAgent' => '',
'LabelImageFormat' => ['Code' => 'GIF'],
],
'LabelDelivery' => [
'LabelLinkIndicator' => '',
'ResendEMailIndicator' => '',
'EMailMessage' => ['EMailAddress' => ''],
],
'TrackingNumber' => $trackNumber, // 直接赋值，无需引号包裹
]
];
// 3. 序列化为标准JSON（自动转义+UTF-8兼容）
$jsonPayload = json_encode($data, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);
if ($jsonPayload === false) {
die('JSON encode error: ' . json_last_error_msg());
}
// 4. 配置cURL（使用数组语法更简洁）
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => 'https://onlinetools.ups.com/ship/v1/shipments/labels',
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => '',
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_FOLLOWLOCATION => true,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => 'POST',
CURLOPT_POSTFIELDS => $jsonPayload, // 传入已编码的JSON字符串
CURLOPT_HTTPHEADER => [
'Username: xxxxx',
'Password: xxxxx',
'AccessLicenseNumber: xxxxxxx',
'Content-Type: application/json',
'Accept: application/json'
],
]);
$response = curl_exec($curl);
$httpCode = curl_getinfo($curl, CURLINFO_HTTP_CODE);
curl_close($curl);
// 5. 基础响应处理（生产环境建议用JSON解析替代正则）
if ($response === false || $httpCode !== 200) {
error_log("UPS API Error (HTTP {$httpCode}): " . curl_error($curl));
die('Failed to retrieve label.');
}
// 使用json_decode()更健壮地提取GraphicImage（优于正则）
$result = json_decode($response, true);
$graphicImage = $result['LabelRecoveryResponse']['LabelResults']['LabelImage']['GraphicImage'] ?? null;
if ($graphicImage) {
echo '<img src="data:image/gif;base64,' . htmlspecialchars($graphicImage) . '" alt="Shipping Label">';
} else {
die('Label image not found in response.');
}? 关键注意事项：
立即学习“PHP免费学习笔记（深入）”；
- 永远不要手动拼接JSON字符串："key": "$var" 或 "key": "json_encode($var)" 均属高危操作，易引发语法错误与XSS风险；
- 务必校验并过滤用户输入：$_GET['tracknumber'] 可能含恶意字符，应使用 filter_input() 或 htmlspecialchars() 预处理；
- 启用JSON编码选项：JSON_UNESCAPED_UNICODE 保留中文等Unicode字符，JSON_UNESCAPED_SLASHES 避免冗余转义；
- 检查json_encode()返回值：失败时返回false，需用json_last_error_msg()调试；
- 验证API响应状态码：仅凭curl_exec()成功不等于业务成功，必须检查CURLINFO_HTTP_CODE；
- 优先使用json_decode()解析响应：比正则表达式更可靠、可读性强，且能捕获JSON格式异常。
通过遵循上述模式，你不仅能解决当前的TrackingNumber传参问题，更能建立一套可复用、安全、符合现代PHP开发规范的API交互流程。
