不推荐使用拼多多官方PHP SDK，应自行封装；签名需参数升序拼接+md5(字符串+client_secret)，access_token须放请求头，订单拉取用order_list接口并按7天分片，token有效期8小时需持久化存储并提前刷新，order_status与pay_status需分开判断。
拼多多开放平台 PHP SDK 不推荐直接用
官方 PHP SDK 已多年未更新，依赖过时的 cURL 封装和硬编码签名逻辑，对接新版 API（如 /api/order/list）大概率报错 invalid_sign 或 timestamp_expired。别浪费时间配它，自己封装更稳。
- 签名算法必须严格按文档实现：参数升序拼接 +
md5(待签字符串 + client_secret)，注意空值不参与、时间戳单位是秒、access_token必须带在请求头而非参数里 - 所有接口都要求 HTTPS，且域名必须是
https://api.pinduoduo.com，写成http或加www前缀会直接 404 - 测试时先用
/api/query/shop验证 token 和签名，比订单接口更轻量、报错更明确
拉取订单要用 order_list 接口，不是 order_search
拼多多把“分页拉取全部订单”和“关键词搜索单个订单”拆成了两个接口。order_search 只支持按订单号/手机号查，不能翻页；真正批量拉数据得用 order_list，但它对时间范围卡得很死——start_update_time 和 end_update_time 最多跨 7 天，超了就返回空数组，不会报错也不会提示。
- 必须自己做时间切片：比如要拉 30 天订单，得循环 5 次，每次传 7 天区间，最后一次补 2 天
-
page_size最大只能填100，填更大值会被静默截断，但响应里total_count还是准的，得靠它判断是否还有下一页 - 响应体里
order_list是数组，但每个订单的order_sn是字符串，不是数字，PHP 里别用==直接跟整数比
access_token 有效期只有 8 小时，且不能复用
拼多多的 access_token 不像微信那样能刷新，过期就得重新走授权码换 token 流程。如果程序跑着跑着突然所有订单接口返回 invalid_access_token，八成是 token 过期了，而不是网络或签名问题。
- 别把它存在配置文件里硬编码，必须存到可写的持久化位置（如 Redis 或数据库），并记录生成时间戳
- 每次调用前先检查剩余有效期：
if (time() - $stored_time > 28000) { // 换新 }，留 800 秒缓冲，避免临界失效 - 换 token 的接口
/oauth/token要求grant_type=authorization_code，但首次授权后拿到的 code 只能用一次，所以必须确保换 token 的逻辑只执行一次，否则后续全失败
订单字段里 order_status 和 pay_status 含义容易混淆
拼多多订单状态分两层：交易流程状态（order_status）和支付状态（pay_status）。比如一个订单已付款但还没发货，order_status 是 CONFIRMED，pay_status 是 PAYED；而货发了但用户没确认收货，order_status 变成 CONSIGNED，pay_status 不变。直接按 order_status === 'SUCCESS' 判定完成会漏掉大量已发货未确认的单。
立即学习“PHP免费学习笔记（深入）”；
- 业务上真正要同步发货的，应监控
order_status IN ['CONFIRMED', 'CONSIGNED']且pay_status === 'PAYED' -
order_status的值是英文字符串，不是数字码，文档里列了 12 种状态，但实际常见就 4–5 种，不用全处理 - 注意
order_list响应里可能有null字段（如pay_time在未付款时为null），PHP 里用isset()判断比!empty()更安全
事情说清了就结束
