抖音PHP调用必须走HTTPS+OAuth2授权流，先获取access_token再请求用户信息，否则返回10001错误；需正确配置回调域名、权限scope、POST换token、携带Authorization头，注意token过期、编码及union_id限制。
抖音开放平台 PHP 接口调用必须走 HTTPS + OAuth2 授权流
抖音开放平台不支持直接用 file_get_contents 或 curl 拼参数拿用户信息，必须先完成 OAuth2 授权获取 access_token，再用它请求用户信息接口。跳过授权步骤、或用测试环境 token 调正式接口，都会返回 {"error_code":10001,"description":"invalid access_token"} 这类错误。
常见踩坑点：
- 本地
http://localhost回调地址未在抖音开放平台后台「授权回调域名」中配置（必须是 HTTPS 域名，且与后台填写完全一致，包括末尾斜杠） - 用
scope=user.info.basic申请权限，但实际要读手机号还得加user.info.phone，且需单独审核通过 - 前端跳转授权 URL 时漏传
response_type=code或client_key，导致抖音返回invalid_request
PHP 获取 code 后换 access_token 的关键 curl 参数
拿到 code 后，要用 POST 请求抖音的 https://open.douyin.com/oauth/access_token/，不是 GET。很多 PHP 示例误用 http_build_query 拼在 URL 后，导致 400 错误。
正确做法（使用 curl）：
立即学习“PHP免费学习笔记（深入）”；
curl_setopt($ch, CURLOPT_URL, 'https://open.douyin.com/oauth/access_token/');
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query([
'client_key' => 'YOUR_CLIENT_KEY',
'secret' => 'YOUR_SECRET',
'code' => $code,
'grant_type' => 'authorization_code'
]));
curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/x-www-form-urlencoded']);
// 必须设超时，抖音响应有时慢
curl_setopt($ch, CURLOPT_TIMEOUT, 15);
注意：secret 是应用密钥，不是 access_token；grant_type 必须是 authorization_code，写成 code 会报错。
用 access_token 调 user/info 接口返回空数据或 403
即使拿到 access_token，调 https://open.douyin.com/oauth/userinfo/ 也可能返回空或 {"error_code":403,"description":"Forbidden"}。
原因通常是：
-
access_token已过期（有效期 2 小时），没做刷新（需用refresh_token调/oauth/refresh_token/） - 用户在抖音端撤回了授权，token 失效但服务端没感知
- 接口域名写错：不是
open.douyin.com，而是https://open.douyin.com（少斜杠会导致 301 重定向失败） - 请求头漏了
Authorization: Bearer {access_token}，抖音只认这个格式，不接受access_token=xxx放 query 或 body 里
PHP 处理抖音返回的 JSON 数据要注意中文编码和字段嵌套
抖音返回的 JSON 默认是 UTF-8，但部分老版本 PHP（如 5.6）用 json_decode 可能解析出乱码或 null，尤其当用户昵称含 emoji 或生僻字。
安全写法：
$raw = curl_exec($ch);
// 先检查是否为合法 UTF-8，避免 json_decode 返回 null
if (!mb_check_encoding($raw, 'UTF-8')) {
$raw = mb_convert_encoding($raw, 'UTF-8', 'GBK'); // 根据实际响应头 fallback
}
$data = json_decode($raw, true);
if (json_last_error() !== JSON_ERROR_NONE) {
// 记录 $raw 和 json_last_error_msg() 用于排查
}
另外，抖音的 userinfo 接口返回结构是扁平化的，没有外层 data 字段，直接是 {"open_id":"...", "union_id":"...", "nickname":"..."}，别按其他平台习惯去取 $data['data']['nickname']。
真正难处理的是 union_id —— 它只在用户绑定过抖音号且你应用已开通「多平台互通」权限时才返回，否则永远为空。这点很容易被忽略，等上线后才发现无法做账号打通。
