正确做法是OAuth2仅用于用户身份认证，PHP后端需代理鉴权：校验本地token后查出用户专属API Key，再以X-API-Key或ApiKey方式调用文生图服务，绝不透传OAuth2 token。
PHP 文生图接口（如 Stable Diffusion WebUI API、阿里云百炼、百度文心一格等）本身不内置 OAuth2 鉴权，必须由你自己的 PHP 后端做代理 + 鉴权层。直接把 access_token 透传给文生图服务是错的——它们不认标准 OAuth2 Bearer，也不提供 /oauth/authorize 或 /oauth/token 端点。
为什么不能直接用 Spring Security OAuth2 或 oauth2-server-php 做文生图鉴权
文生图服务不是 OAuth2 资源服务器：它没有实现 Bearer token 解析逻辑，也不校验 scope、exp、iss；你配了 ResourceServer 拦截请求，但下游服务根本不吃那一套。常见错误现象是：前端带着 Authorization: Bearer xxx 请求你的 /api/generate，你转发时没剥离或没转换，文生图服务返回 401 Unauthorized 或 403 Forbidden，而日志里看不到有效错误原因。
- Spring Security OAuth2 的
@EnableResourceServer只校验 token 有效性，不帮你把 token 映射成文生图服务所需的X-API-Key或Authorization: ApiKey xxx -
oauth2-server-php生成的 token 是给「你自己的 API」用的，不是给第三方文生图服务当凭据的 - 强行让文生图服务支持 OAuth2？基本不可行——除非你有源码且能改它的鉴权中间件
正确做法：OAuth2 仅用于用户登录态管理，文生图调用走独立凭据代理
把 OAuth2 当作「用户身份通道」，而不是「文生图访问令牌」。用户通过微信/Google 登录拿到你的系统 access_token 后，你的 PHP 后端再用这个身份查出对应用户的 API Key（比如存在数据库里的 user_api_key 字段），然后以该 Key 去调用文生图服务。
- 用户登录 → 你发 JWT 或 session-based token（用
league/oauth2-client完成授权码流程） - 用户请求
POST /api/generate→ 你校验其本地 token（如验证 JWT signature +exp+aud），查出该用户绑定的api_key - 你用
cURL或 Guzzle 转发请求到文生图服务，Header 中设Authorization: ApiKey {user_api_key}或X-API-Key: {user_api_key}（看文档） - 绝不把用户原始 OAuth2
access_token直接透传给文生图服务
绕不开的 redirect_uri 和 state 校验细节
如果你用 league/oauth2-client 接微信或 GitHub 做登录入口，redirect_uri 必须和服务平台后台注册的**字节级一致**，否则授权页静默失败，连错误都不报。微信尤其严格：
立即学习“PHP免费学习笔记（深入）”；
-
redirect_uri必须是https://yourdomain.com/auth/callback，不能是https://yourdomain.com/auth/callback/（结尾斜杠多一个就invalid_redirect_uri） - 中文路径要
urlencode()，比如https://yourdomain.com/回调→https%3A%2F%2Fyourdomain.com%2F%E5%9B%9E%E8%B0%83 -
state必须用bin2hex(random_bytes(16))生成并存入$_SESSION['oauth2_state']，回调页第一行就比对，通过后立刻unset($_SESSION['oauth2_state']) - 别手拼 URL ——
$provider->getAuthorizationUrl()自动带全参数；别手写 curl 换 token —— 用$provider->getAccessToken('authorization_code', [...])
文生图服务返回 429 或 400 时，OAuth2 层完全无感知
OAuth2 只管「你是谁」，不管「你能调几次」「提示词合不合法」。文生图服务限流（429）、参数错误（400）、模型不可用（503）这些响应，必须在你 PHP 代理层捕获并透传给前端，不能被 OAuth2 中间件吞掉或转成 401。
- 用 Guzzle 发请求时，显式 catch
ClientException和ServerException，读取$e->getResponse()->getBody()再原样返回 - 不要在 OAuth2 鉴权成功后就 assume 文生图一定成功；token 有效 ≠ 调用成功
- 如果文生图服务返回的是非 JSON 错误（比如纯文本 HTML），你得兜底处理，避免前端解析失败
最易被忽略的一点：文生图服务的 rate limit 是按 api_key 统计的，不是按 OAuth2 用户 ID。如果你多个用户共用一个 key，他们会被一起限流；如果 key 存数据库但没加索引，高并发下 SELECT api_key FROM users WHERE id = ? 可能成为瓶颈。
