小米内容开放平台PHP调用必须走OAuth2授权流程，不可直连；需先跳转授权页获取code，再用code换取access_token，调用时必须将access_token放在Authorization Header中，且JSON解析需用json_decode($json, true)。
小米内容开放平台 PHP 调用必须走 OAuth2 授权，不能直连接口
小米内容开放平台（如小说、视频类内容 API）不支持匿名或简单 token 的 HTTP 请求，所有数据获取必须完成用户授权流程。你看到的“直接填 client_id 和 client_secret 就能调”的做法，在当前（2024 年）已全部失效。
常见错误现象：
• 调用 /v1/content/list 返回 {"code":401,"msg":"Unauthorized"}
• 使用 access_token 但过期后没刷新，后续请求全 401
• 拿到 code 后用错地址交换 token（比如用了测试环境地址却配了正式 client_id）
- 必须先跳转小米 OAuth2 授权页（
https://account.xiaomi.com/oauth2/authorize），带上response_type=code、client_id、redirect_uri（需与后台备案完全一致） - 用户授权后回调到你的
redirect_uri，URL 中带code=xxx参数 —— 这个 code 有效期仅 10 分钟，且只能用一次 - 用该 code 向
https://account.xiaomi.com/oauth2/tokenPOST 换取access_token，注意 body 必须是application/x-www-form-urlencoded，不是 JSON - 换取成功后，
access_token通常 2 小时过期，refresh_token可用于续期（部分场景下有效期 30 天）
PHP 获取小说列表时，access_token 必须放在 Authorization Header
拿到 access_token 后，调用内容接口（例如小说分页列表 /v1/novel/list）时，不能拼在 URL 里，也不能放 body，必须走标准 Bearer 认证头。
容易踩的坑：
• 把 access_token=xxx 当作 query 参数加在 URL 后面 → 返回 401
• 用 curl_setopt($ch, CURLOPT_POSTFIELDS, ['access_token' => $token]) → 接口收不到认证信息
• Header 写成 Authorization: Bearer $token 却漏了空格 → 实际发出去是 Bearer$token，小米服务端直接拒掉
立即学习“PHP免费学习笔记（深入）”；
- 正确写法：
curl_setopt($ch, CURLOPT_HTTPHEADER, ['Authorization: Bearer ' . $access_token]) - 接口域名注意区分：小说用
https://openapi.mi.com/novel，视频用https://openapi.mi.com/video，混用会 404 - 参数如
page、size是必需的，缺一个就返回{"code":400,"msg":"invalid param"} - 返回数据是标准 JSON，但字段名全小写（如
novel_id、cover_url），别按驼峰习惯去取novelId
PHP 刷新 refresh_token 时，POST body 必须含 grant_type=refresh_token
当 access_token 过期，你得靠 refresh_token 换新 token。小米要求这个请求的 body 必须明确声明类型，否则返回 {"code":400,"msg":"invalid grant_type"}。
典型错误：
• 只传 refresh_token=xxx，没传 grant_type → 400
• 传了 grant_type=authorization_code（这是换第一个 token 用的）→ 400
• 用 GET 请求发 refresh 请求 → 小米只接受 POST
- 请求地址仍是
https://account.xiaomi.com/oauth2/token - POST body 应为：
grant_type=refresh_token&refresh_token=xxx&client_id=yyy&client_secret=zzz - 同样要设
Content-Type: application/x-www-form-urlencoded - 刷新成功后返回的新
access_token仍只有 2 小时有效，但refresh_token可能更新（留意响应里的新值）
PHP 处理小米返回的 JSON 时，json_decode() 必须加第二个参数 true
小米所有接口返回都是 JSON 字符串，但 PHP 默认 json_decode($json) 返回对象，而对象属性访问语法（->）在动态字段名（如 $data->novel_id）时容易出错，尤其字段含下划线或数字开头。
更麻烦的是：某些字段名和 PHP 保留字冲突（比如 class、default），对象方式根本取不到。
- 务必写成：
$data = json_decode($response, true);→ 得到关联数组 - 然后用
$data['novel_id']、$data['cover_url']安全取值 - 别依赖
json_last_error()就完事，小米偶尔会返回 HTML 错误页（比如 502 网关错误时），先用stripos($response, '{')或json_validate($response)（PHP 8.3+）粗筛再 decode
真正难的不是第一次调通，而是 token 刷新逻辑嵌进业务流程后，多用户并发时 refresh_token 被重复使用导致双双失效——这个点没人提醒，但线上最容易突然崩掉。
