阿里云百炼API无官方PHP SDK，需手动实现ACSv3签名：用AccessKeySecret+UTC日期（YYYYMMDD）生成签名密钥，按指定格式拼接待签字符串，再HMAC-SHA256+base64编码；请求头必须严格匹配x-acs-date（RFC3339）、x-acs-signature-nonce、Content-Type等要求。
阿里云百炼 API 的调用方式不是 SDK 而是标准 HTTP 请求
阿里云百炼目前（2024 年中）**没有官方 PHP SDK**，所有调用都基于 RESTful API，走 POST /api/v1/services/aigc/text-generation/generation 这类路径。你不能像调用 AlibabaCloud::client() 那样直接封装好鉴权和重试——得自己拼签名、构造 Authorization 头、处理 JSON 响应体。
核心难点不在“发请求”，而在「签名生成」：百炼要求使用阿里云通用的 ACSv3 签名机制（非旧版 Signature），且必须包含 x-acs-date、x-acs-signature-nonce、x-acs-signature-method 三个固定 header，漏一个就返回 InvalidAccessKeyId.NotFound 或 SignatureDoesNotMatch。
- 用
file_get_contents()+stream_context_create()最轻量，适合简单场景 - 推荐用
cURL，可控性更强，能显式设置超时、SSL 验证、header 顺序（部分老版本 PHP 对 header 顺序敏感） - 别用
curl_setopt($ch, CURLOPT_POSTFIELDS, $array)直接传数组——百炼只认application/json，必须json_encode()后设Content-Type: application/json
如何生成合法的 ACSv3 签名（关键步骤）
签名字符串格式为：HTTPMETHOD\n\napplication/json\nx-acs-date:${date}\nx-acs-signature-nonce:${nonce}\n/path?param=value，其中 ${date} 必须是 RFC3339 格式（如 2024-06-15T10:22:33.123Z），且与请求头中的 x-acs-date 完全一致；${nonce} 是 16 位随机字符串（建议用 bin2hex(random_bytes(8))）。
签名密钥不是你的 AccessKeySecret 原值，而是：acs v3 signing key: ${AccessKeySecret} + ${date}（UTC日期，格式 YYYYMMDD），再用这个密钥对上一步拼好的字符串做 HMAC-SHA256，最后 base64 编码。
立即学习“PHP免费学习笔记（深入）”；
- PHP 7.2+ 直接用
hash_hmac('sha256', $stringToSign, $signingKey, true)，别用hash()（不支持 raw_output） - 注意：
$date在签名密钥里用的是YYYYMMDD（如20240615），在 header 里用的是YYYY-MM-DDTHH:MM:SS.sssZ，两者不可混用 - 如果返回
InvalidTimestamp.Expired，大概率是服务器时间与 NTP 不同步——百炼要求请求时间与阿里云服务器时间误差 ≤ 15 分钟
调用 text-generation 接口生成摘要的最小可行代码
以下代码跳过异常捕获和重试，仅展示最简通路。实际使用时需补全错误码判断（如 Throttling 表示 QPS 超限，ResourceNotFound.Service 表示模型未开通）：
$accessKeyId = 'your_access_key_id';
$accessKeySecret = 'your_access_key_secret';
$regionId = 'cn-beijing'; // 百炼服务所在区域，必须与控制台开通区域一致
$modelId = 'qwen-max'; // 模型 ID，可在百炼控制台「模型服务」页查看
$date = date('Y-m-d\TH:i:s.u\Z'); // 注意 u 是微秒，Z 是 UTC 时区
$nonce = bin2hex(random_bytes(8));
// 1. 构造待签名字符串
$stringToSign = "POST\n\napplication/json\nx-acs-date:{$date}\nx-acs-signature-nonce:{$nonce}\n/api/v1/services/aigc/text-generation/generation";
// 2. 生成签名密钥（注意日期格式！）
$signingDate = date('Ymd', strtotime($date));
$signingKey = "acs v3 signing key: {$accessKeySecret}" . $signingDate;
// 3. 计算签名
$signature = base64_encode(
hash_hmac('sha256', $stringToSign, $signingKey, true)
);
// 4. 发起请求
$url = "https://dashscope.aliyuncs.com/api/v1/services/aigc/text-generation/generation";
$body = json_encode([
'model' => $modelId,
'input' => [
'messages' => [
['role' => 'user', 'content' => '请用 100 字以内概括以下新闻：...']
]
],
'parameters' => ['result_format' => 'text']
]);
$headers = [
"Authorization: ACSv3-HMAC-SHA256 Credential={$accessKeyId},SignedHeaders=x-acs-date;x-acs-signature-nonce,Signature={$signature}",
"x-acs-date: {$date}",
"x-acs-signature-nonce: {$nonce}",
"Content-Type: application/json"
];
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, $body);
curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); // 生产环境请设为 true 并配置 CA 证书
$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);
if ($httpCode === 200) {
$data = json_decode($response, true);
echo $data['output']['text'] ?? '无输出';
}
常见失败原因和绕过技巧
百炼 API 对 header 大小写、空格、换行极其敏感，哪怕多一个空格都会导致签名失败。调试时优先检查 curl -v 输出的实际请求头是否与文档完全一致。
-
InvalidAccessKeyId.NotFound：AccessKey ID 不存在或被禁用，去 RAM 控制台确认该 AK 是否有dashscope:GenerateText权限 -
Forbidden.AccessDenied：当前账号未开通百炼服务，或未在对应区域（如cn-beijing）开通模型 - 返回空
output.text但状态码 200：检查input.messages是否为数组，role是否拼错成roles，content是否为空字符串 - 想绕过签名手动生成？可以用阿里云官方
aliyun-openapi-php-sdk+dashscope扩展包，但它底层仍是拼签名——只是帮你省了计算步骤，逻辑没变
真正容易被忽略的是模型输入长度限制：百炼多数模型对 input.messages[0].content 有严格 token 上限（如 qwen-plus 是 6144 tokens），但 PHP 里没法直接测 token 数，只能靠预估字符数（中文约 1 字符 ≈ 2 tokens）或先用 dashscope.Tokenizer（需额外调用）做校验。
