403错误是目标服务器主动拒绝访问，主因是请求头缺失或不规范；必须用CURLOPT_USERAGENT单独设置User-Agent，不可仅塞入HTTPHEADER，还需配套Accept、Accept-Language、Referer等头，并确保UA字符串完整、不过期。
403 不是 PHP 报的错，而是目标服务器主动把你拒之门外 —— 它没在验你的账号密码，而是在查你是不是“人”。最常见、最直接的破法就是补全 User-Agent，但只设 UA 远不够，漏掉几个关键头或用错设置方式，照样 403。
为什么 CURLOPT_USERAGENT 必须单独设，不能塞进 HTTPHEADER？
cURL 对 User-Agent 有底层特殊处理逻辑：如果只靠 curl_setopt($ch, CURLOPT_HTTPHEADER, ['User-Agent: ...']) 手动加，某些旧版 cURL（尤其是系统自带的 libcurl 7.29 或更低）会直接忽略它。服务端一查请求头里没有 User-Agent 字段，立刻返回 403。
- 必须用
curl_setopt($ch, CURLOPT_USERAGENT, $ua_string)单独设置 - 这个选项优先级高于
HTTPHEADER里的同名字段 - UA 字符串要完整，比如
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36，不能简写成Mozilla/5.0 - 别从网上随便抄过期 UA（如带 Chrome/80 的），部分 CDN 会校验 UA 合理性，版本太老可能被当异常流量
光有 User-Agent 还不够，哪些头是“配套身份证”？
真实浏览器发起请求时，User-Agent 从来不是单打独斗。缺了 Accept、Accept-Language、Referer，服务端仍可能判定为脚本行为，尤其对前端渲染型页面或带反爬中间件（如 Cloudflare、Akamai）的目标。
-
Accept推荐设为text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 -
Accept-Language推荐设为zh-CN,zh;q=0.9,en;q=0.8（中文优先） -
Referer要和目标 URL 同源，比如请求https://example.com/api/data，Referer 可设为https://example.com/；若为空或跨域乱填，部分接口会拒绝 - 所有这些头统一用
curl_setopt($ch, CURLOPT_HTTPHEADER, $headers)传数组，格式为['Accept: ...', 'Referer: ...']，注意冒号后要空一格
file_get_contents() 怎么加 UA？它能替代 cURL 吗？
可以加，但能力边界很窄：file_get_contents() 只适合简单 GET 请求，且 UA 必须通过 stream_context_create() 配置，不能直接传参数。
立即学习“PHP免费学习笔记（深入）”；
$opts = [
'http' => [
'method' => 'GET',
'header' => "User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36\r\n"
]
];
$content = file_get_contents('https://example.com', false, stream_context_create($opts));
- 不支持 POST、Cookie 持久化、自动重定向跳转、连接超时分阶段控制
- 出错时只返回
false，错误细节得靠error_get_last()查，调试成本高 - 遇到需要保持登录态、发 JSON、带认证头的场景，必须切回 cURL 或 Guzzle
Guzzle 7+ 设置 UA 的坑在哪？
Guzzle 7+ 把 User-Agent 当作独立配置项，不是 headers 的一部分。如果你把它写进 headers 数组里，Guzzle 会静默忽略 —— 看似代码跑通，实际请求头里根本没有 UA，还是 403。
- 正确写法是单独用
user_agent键：['user_agent' => 'Mozilla/5.0 (...)', 'headers' => ['Accept' => 'application/json']] - 错误写法：
['headers' => ['User-Agent' => '...', 'Accept' => '...']]—— 这个User-Agent不生效 - 如果项目已用 Guzzle，建议统一用
user_agent配置，避免混用导致 UA 丢失
真正卡住人的地方，往往不是“要不要设 UA”，而是 UA 设在哪、设得全不全、设得像不像——服务器看的不是你写了什么，而是你发出的每一个字节是否匹配真实浏览器的指纹节奏。
