使用PHP和cURL调用Sage 200 Native API获取Access Token遇403错误

你的403错误核心原因是请求格式不匹配Sage OAuth令牌接口的要求，Postman能成功是因为它默认使用了正确的请求编码格式，而你的PHP cURL代码没有做到这一点。

具体问题点 #

Sage的/oauth/token接口要求请求体使用application/x-www-form-urlencoded格式，但你的代码存在两个关键错误：

1. 设置了错误的Content-Type: application/json请求头
2. 直接传递数组作为CURLOPT_POSTFIELDS的值，cURL会自动将其编码为multipart/form-data格式，这与接口要求不符

修复后的代码修改 #

修改api.php中的call方法 #

private function call($data=false) {
    
    $ch = curl_init();
    
    $curlURL = $this->oAuthAccessTokenURL;
        
    // 初始化POST数据，用http_build_query编码为表单格式
    $postFields = '';
    if ($data) {
        $postFields = http_build_query($data);
    }
    
    // Setup curl options
    $curl_options = array(
        CURLOPT_URL => $curlURL,
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_TIMEOUT        => 30, // 建议设置合理超时，避免无限等待
        CURLOPT_FOLLOWLOCATION => true,
        CURLOPT_HTTPHEADER => array(
            'Accept: application/json', // 明确指定接受JSON响应
            'Content-Type: application/x-www-form-urlencoded', // 修正为接口要求的Content-Type
            'User-Agent: PostmanRuntime/7.32.0', // 匹配Postman的UA，可根据实际情况调整
        ),
        CURLOPT_POST        => 1,
        CURLOPT_POSTFIELDS  => $postFields // 传入编码后的字符串
    );
    
    print "<pre>";
    print_r($curl_options);
    print "</pre>";
            
    // Set curl options
    curl_setopt_array($ch, $curl_options);
    
    // Send the request
    $this->result = $result = curl_exec($ch);
    $this->error = $error = curl_errno($ch);
    $this->httpcode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    
    if ($this->debug) {
        var_dump($result);
        var_dump($error);
        var_dump(curl_getinfo($ch, CURLINFO_HTTP_CODE));
    }
            
    // Close the connection
    curl_close($ch);
    
    return json_decode($result, true);
}

额外验证项 #

1. 确认Redirect URI一致性：确保代码中的$callbackURL与Sage开发者后台配置的回调地址完全一致（包括协议http/https、域名、路径，不能有任何差异）
2. State参数安全性：当前代码使用固定的state=Sage，建议改为随机生成的值并在回调时验证，防止CSRF攻击（虽非当前403原因，但属于OAuth最佳实践）
3. Code时效性：Authorization Code通常只有5分钟有效期，确保回调时的code未过期

内容的提问来源于stack exchange，提问作者Jo H