花火平台无官方PHP SDK，需手写HTTP请求调用REST API；必须使用带X-Bili-Access-Token等头的cURL，注意权限scope、字段类型转换及接口路径以/open/api/开头。
花火平台没有公开 PHP SDK，所有接口都得自己手写 HTTP 请求
官方只提供前端 JS SDK 和文档里的 REST API 示例，PHP 端没有任何封装库。你不能 composer require bilibili/huohuo —— 这个包不存在。所有调用本质就是发 GET 或 POST 到 https://huohuo.bilibili.com/ 下的路径，带正确鉴权头和参数。
常见错误现象：401 Unauthorized（没传 X-Bili-Access-Token）、403 Forbidden（Token 权限不足或过期）、400 Bad Request（brand_id 写成字符串但接口要整数，或漏了必填字段 page_num）。
- 必须用
curl_init()或file_get_contents()配合stream_context_create()发请求，别想用get_headers()之类绕过 - Token 不是登录态 Cookie，而是通过花火后台「开发者中心」申请的
access_token，有效期 2 小时，需自行缓存并刷新 - 所有接口路径以
/open/api/开头，比如获取品牌列表是/open/api/brand/list，不是文档里写的“/api/brand/list”
获取品牌合作数据前，先确认你有对应 scope 权限
花火 API 是 OAuth2 分级授权，brand:list、order:read、quotation:write 这些权限要逐个勾选申请，光有 Token 不等于能查报价单。没开 quotation:read 就调 /open/api/quotation/list，返回永远是空数组加 "code":0，不报错也不提示缺权限。
- 测试时用
GET /open/api/auth/scope查当前 Token 实际拥有的权限（需带X-Bili-Access-Token） - 品牌侧接口（如
/open/api/brand/detail?brand_id=123）要求brand:read；达人侧报价接口（如/open/api/quotation/create）要求quotation:write - 权限变更后 Token 不自动更新，旧 Token 仍按申请时的 scope 生效，得重新走授权流程拿新 Token
PHP 处理报价数据时注意字段类型和空值逻辑
花火返回的 JSON 里，价格类字段如 price_min、price_max 是字符串（例："150000"），不是整数；状态字段如 status 是数字枚举（1=待报价、2=已报价、3=已拒绝），但文档没写全，得自己抓包看实际返回值。
立即学习“PHP免费学习笔记（深入）”；
- 别直接
(int)$data['price_min']—— 字符串含逗号或单位时会转成 0，先str_replace(['¥', ',', '元'], '', $data['price_min']) -
quotation/list接口分页用page_num和page_size，不是offset/limit，且page_num从 1 开始 - 部分字段如
extra_info是 JSON 字符串（不是对象），需再json_decode($item['extra_info'], true)
cURL 请求必须设对 header 和超时，否则大概率失败
花火服务对 User-Agent、Content-Type、超时非常敏感。用默认 curl 设置发请求，90% 概率卡住或被 403 拦截。尤其 X-Bili-Device-ID 虽非强制，但漏掉会导致某些接口（如创建报价单）返回 "code":10001（通用错误码，实际是设备校验失败）。
- 必须设置
Content-Type: application/json（即使 GET 请求也要带） - 必须设
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36，纯 PHP 默认 UA 会被拒 - 推荐设
timeout: 15，花火响应慢，设 3 秒会频繁超时；同时捕获CURLOPT_FAILONERRORfalse 场景下的curl_error() - 示例关键行：
curl_setopt($ch, CURLOPT_HTTPHEADER, ['X-Bili-Access-Token: xxx', 'User-Agent: xxx', 'Content-Type: application/json']);
最麻烦的其实是 Token 续期和字段映射——文档字段名和实际返回经常差一个下划线，比如文档写 brand_name，真实返回是 brandName，这种细节只能靠抓包比对，没法靠读文档猜出来。
