PHP调用SageMaker需手动构造签名HTTP请求，因AWS SDK for PHP不支持完整SageMaker功能；须用SignatureV4签名后通过cURL发送，注意Region、Endpoint格式、权限配置及S3策略。
PHP 无法直接调用 SageMaker SDK，必须走 HTTP API
PHP 官方没有维护 boto3 或 AWS SDK for PHP 的 SageMaker 全功能支持——尤其是训练作业、推理终端、模型注册等核心操作，AWS SDK for PHP 目前（v3.285+）仅提供极有限的 SageMaker 管理接口（如 listTrainingJobs），且不支持签名 v4 的部分 POST 路径。真实场景中，你得绕过 SDK，自己构造带签名的 HTTP 请求。
关键原因：SageMaker 控制面 API 要求严格遵循 AWS Signature Version 4，而 PHP SDK 对某些 SageMaker 操作（如 CreateTrainingJob）的请求体序列化、header 注入、payload 哈希计算存在偏差，容易返回 InvalidSignatureException 或 MissingAuthenticationTokenException。
- 不要尝试用
Aws\SageMaker\SageMakerClient直接调createTrainingJob()—— 即使文档里有，实际调用大概率失败 - 必须使用
Aws\Credentials\Credentials+Aws\Signature\SignatureV4手动签名，再用cURL或GuzzleHttp\Client发送原始 JSON 请求 - Region 必须显式指定（如
us-east-1），不能依赖默认；SageMaker endpoint URL 格式为https://api.sagemaker.<region>.amazonaws.com</region>
如何正确签名并提交 CreateTrainingJob 请求
核心是把 JSON body、canonical URI、query string、headers 全部按 Signature V4 规则拼接，再用 STS 或 IAM key 签名。PHP SDK 的 SignatureV4 类能复用，但不能让它自动发请求——你要截获它生成的 Authorization header 和已签名的 headers 数组，再手动构建完整 cURL。
$credentials = new Credentials('YOUR_ACCESS_KEY', 'YOUR_SECRET_KEY');
$signature = new SignatureV4('api.sagemaker', 'us-east-1');
$request = $request->withHeader('content-type', 'application/x-amz-json-1.1')
->withHeader('x-amz-target', 'SageMaker.CreateTrainingJob');
$signedRequest = $signature->signRequest($request, $credentials);
// 提取签名后 header
$headers = $signedRequest->getHeaders();
$authHeader = $headers['Authorization'][0];
// 构造 cURL：注意 CURLOPT_HTTPHEADER 必须包含全部签名头，包括 x-amz-date、x-amz-content-sha256
$ch = curl_init('https://api.sagemaker.us-east-1.amazonaws.com');
curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($trainingJobPayload));
curl_setopt($ch, CURLOPT_HTTPHEADER, [
'Content-Type: application/x-amz-json-1.1',
'X-Amz-Target: SageMaker.CreateTrainingJob',
'X-Amz-Date: ' . $headers['x-amz-date'][0],
'X-Amz-Content-SHA256: ' . $headers['x-amz-content-sha256'][0],
'Authorization: ' . $authHeader,
]);
-
$trainingJobPayload必须严格符合 SageMaker 文档字段（如TrainingJobName不能含下划线，AlgorithmSpecification.TrainingImage需是 ECR 全路径） - 务必检查
x-amz-content-sha256是否为 payload 的 hex SHA256（空 payload 是e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855） - 错误响应通常是 400，body 是 JSON，含
__type字段（如ValidationException），不是 HTML
调用已部署的 SageMaker Endpoint 时，别漏掉 Content-Type 和 Accept
Endpoint 是纯 HTTP 接口，不走 AWS 签名——但必须带 Content-Type: application/json，否则返回 415；如果模型返回二进制（如图像），还得加 Accept: image/png。PHP 里最容易错的是没设 Content-Type 或用了 text/plain。
立即学习“PHP免费学习笔记（深入）”；
- Endpoint URL 形如
https://runtime.sagemaker.us-east-1.amazonaws.com/endpoints/my-model/invocations，注意是runtime.sagemaker，不是api.sagemaker - 请求 body 是纯 JSON，无需 base64 编码（除非模型明确要求）；若输入是图片，需先转成 base64 字符串再塞进 JSON 字段
- 超时要设足：训练模型冷启动可能达 90 秒，
curl_setopt($ch, CURLOPT_TIMEOUT, 120)更稳妥 - 返回状态码非 200 时，
curl_error($ch)无用，必须读curl_exec()返回的 body 才能看到 SageMaker 的错误 JSON
权限和角色配置常被忽略的三个硬性条件
即使代码全对，IAM 权限配错也会卡在 403。SageMaker 不是单个服务，它背后涉及 S3、ECR、CloudWatch、KMS、ElasticContainerRegistry 等多个资源联动，权限缺一不可。
- 执行角色（ExecutionRoleArn）必须附加
AmazonSageMakerFullAccess或自定义策略，且该策略中Resource不能写"*"，必须显式列出 S3 bucket ARN（如arn:aws:s3:::my-bucket/*） - PHP 所在服务器的 IAM role（或本地 credentials）需有
sagemaker:CreateTrainingJob、sagemaker:InvokeEndpoint等动作权限，且Resource匹配具体 endpoint ARN 或通配符arn:aws:sagemaker:us-east-1:123456789012:endpoint/* - S3 bucket 策略必须允许 SageMaker 服务主体
sagemaker.amazonaws.com执行s3:GetObject和s3:ListBucket，否则训练数据加载失败，日志只报 “InputDataConfig failed”
最麻烦的其实是调试链路：PHP → SageMaker API → SageMaker 后台任务 → S3/ECR → CloudWatch 日志。每层失败的表现都不同，但错误信息基本都在 response body 或 CloudWatch 的 /aws/sagemaker/TrainingJobs 组里，别只盯着 PHP 报错。
