PHP 8.1 实现 OAuth 2.0 必须使用 league/oauth2-server 等成熟库，不可手写流程；需强制实现 ClientRepositoryInterface 等 5 个存储接口，state 必用 bin2hex(random_bytes(16)) 生成并严格校验后立即销毁，授权码须带 600 秒过期且单次有效。
PHP 8.1 实现 OAuth 2.0 必须依赖成熟库，不能手写核心流程
PHP 8.1 本身不提供任何 OAuth 2.0 协议层实现，所有授权服务器逻辑必须由第三方库承载；若手动拼接 code 换 token 的 cURL 请求、自行校验 redirect_uri 或用 mt_rand() 生成 state，【90% 的线上 invalid_grant 和 CSRF 漏洞都源于此】。
首选 league/oauth2-server：它强制你实现 ClientRepositoryInterface、AccessTokenRepositoryInterface 等 5 个存储接口，缺一不可——否则 AuthorizationServer 构造失败，直接报 fatal error。
state 必须用 bin2hex(random_bytes(16)) 生成并存入 $_SESSION，回调页第一行就得比对 $_GET['state'] === $_SESSION['oauth2_state']，通过后立刻 unset($_SESSION['oauth2_state'])。
授权码必须带 expiresIn（默认 600 秒）且单次有效，换 token 成功后必须调 $authCodeRepository->revokeAuthCode($code)，否则攻击者可重放 code。
立即学习“PHP免费学习笔记（深入）”；
Java 20 实现 OAuth 2.0 可基于标准框架或底层协议栈灵活选型
Java 20 不强制绑定某一个库，但生产环境普遍采用 Spring Security OAuth2（已整合进 Spring Boot 3.x）或 Apache Oltu。
Spring Security OAuth2 将授权服务器、资源服务器、客户端自动装配为 Bean，配置类加 @EnableAuthorizationServer 注解即可启用（Spring Boot 3+ 改用 Spring Authorization Server），路由、token 签发、scope 校验全部声明式完成。
Apache Oltu 更轻量，需手动构建 OAuthClientRequest、OAuthASResponse 等对象，每一步对应协议图中的明确角色：第 1 步重定向到 auth server，第 3 步 POST 换 token，第 5 步用 Bearer Token 访问资源——【所有 HTTP 方法、Content-Type、Authorization 头、redirect_uri 全量一致性校验都得自己编码落实】。
Java 20 的 Records、Pattern Matching for switch 等特性可简化 token 解析与 scope 匹配逻辑，但不会降低协议合规门槛；仍需严格比对 redirect_uri 字符串全量（https://a.com/cb ≠ https://a.com/cb/）。
关键差异落地在三处：存储约束、state 生命周期、错误反馈粒度
第一步：PHP 8.1 的 league/oauth2-server 要求你先写完 5 个 Repository 接口实现才能启动服务；Java 20 的 Spring Authorization Server 允许先跑通内存模式（InMemoryRegisteredClientRepository），再逐步替换为 JdbcRegisteredClientRepository。
第二步：PHP 中 state 存在 $_SESSION 里，生命周期绑定 PHPSESSID；Java 中通常存在 HttpSession 或 Redis，但必须显式配置 setMaxInactiveInterval(600) 防止过期不一致。
第三步：PHP 手写客户端时，invalid_redirect_uri 错误常静默返回 400 无提示；Java 使用 RestTemplate + OAuth2AuthorizedClientService 时，异常会被封装为 OAuth2AuthorizationException，getMessage() 可直接提取 error=invalid_redirect_uri&error_description=… 原始响应体。
