PHP 8.2 实现 OAuth 2.0 需先明确角色：做客户端用 league/oauth2-client 对接第三方登录，做服务端用 league/oauth2-server 搭建授权中心；二者技术路径不同，混用易导致 redirect_uri 不匹配、state 校验失败或 token 换取失败。
PHP 8.2 实现 OAuth 2.0 授权，核心是分清角色：你是做客户端（比如网站用微信登录），还是做服务端（比如自己搭一个授权中心供其他系统接入）。两者技术路径完全不同，不能混用。选错方向，90% 的问题会卡在 redirect_uri 不匹配、state 校验失败或 token 换取失败上。
做客户端：用 league/oauth2-client 快速对接微信、GitHub 等平台
这是最常见场景——你的 PHP 网站要支持第三方账号登录。别手拼 URL、别自己写 cURL 换 token。
- 用 Composer 安装：
composer require league/oauth2-client - 注册应用获取 client_id 和 client_secret，并严格填写 redirect_uri（协议、端口、路径、末尾斜杠都必须完全一致）
- 生成随机 state 存入 session：
$_SESSION['oauth2_state'] = bin2hex(random_bytes(16)); - 跳转前构造授权 URL，必须带齐：
response_type=code、client_id、redirect_uri、state - 回调页第一件事：比对
$_GET['state'] === $_SESSION['oauth2_state']，通过后立刻unset($_SESSION['oauth2_state']) - 用 code 换 token 时，POST 请求必须满足：
Content-Type: application/x-www-form-urlencoded，Authorization: Basic base64(client_id:client_secret)，body 用http_build_query()拼装，且redirect_uri再次严格一致
做服务端：用 league/oauth2-server 搭建授权中心
如果你要对外提供登录能力（比如给 App 或合作方发 token），必须用 league/oauth2-server。它强制你实现 5 个存储接口，倒逼逻辑清晰、安全可控。
- 安装：
composer require league/oauth2-server - 必须实现的 5 个接口：
ClientRepositoryInterface、AccessTokenRepositoryInterface、ScopeRepositoryInterface、AuthCodeRepositoryInterface、RefreshTokenRepositoryInterface -
AuthCodeRepositoryInterface::getNewToken()返回的授权码必须含expiresIn（建议 600 秒）和isRevoked字段，换 token 后必须立刻调用revokeAuthCode() -
RedirectUriRepositoryInterface必须做全字符串比对（https://a.com/cb≠https://a.com/cb/） - 生成 code 要用加密安全随机数：
bin2hex(random_bytes(32))，禁用md5(time().rand()) - Laravel 项目直接用
laravel/passport（底层就是封装了该库），自动处理路由、迁移、配置
关键细节不能漏
无论客户端还是服务端，这些点踩中一个就可能线上报 invalid_grant 或 invalid_redirect_uri：
立即学习“PHP免费学习笔记（深入）”；
- state 是 CSRF 防护刚需，不是可选项；生成、校验、销毁三步缺一不可
- redirect_uri 必须 urlencode 编码（尤其含中文或特殊字符时）
- 微信等平台的
scope值固定（如snsapi_login），填错静默失败，无明确提示 - access_token 应存在后端（数据库或 HttpOnly Cookie），绝不暴露给前端 JS
- 微信的 access_token 不返回
expires_in，需按文档自行按 2 小时过期处理
