在PHP后端开发中，使用cURL发起GET请求调用外部接口是常见操作。当接口需要身份认证或要求携带特定请求头时，很多请求失败并不是代码逻辑错误，而是头部设置方式不符合HTTP规范。本文围绕cURL的GET请求，详细说明认证凭据与自定义请求头的配置方法。
一、cURL GET请求的基础结构
PHP的cURL扩展通过一组curl_setopt函数配置请求参数。对于GET请求，核心是将数据拼接到URL的查询字符串中，而不是写到请求体。很多人误以为GET也能像POST那样用CURLOPT_POSTFIELDS传参，这会导致cURL自动转为POST或忽略参数。
一个最基础的GET请求只需要设置CURLOPT_URL与CURLOPT_RETURNTRANSFER。但在真实业务中，接口通常要求声明Accept、User-Agent等头信息。这些头部不能通过URL传递，必须借助CURLOPT_HTTPHEADER以数组形式设置。下面代码展示了一个不带认证的纯GET请求：
<?php
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://api.ipipp.com/v1/info?type=1');
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_TIMEOUT, 10);
$response = curl_exec($ch);
if ($response === false) {
echo '请求错误: ' . curl_error($ch);
} else {
echo $response;
}
curl_close($ch);
?>
二、设置Basic认证凭据
HTTP Basic认证是最简单的认证方案。其原理是客户端将用户名与密码用冒号连接，做base64编码，然后放入Authorization请求头，格式为Basic base64字符串。cURL提供了专门的CURLOPT_USERPWD选项，会自动完成编码与头部拼接，比手动写头更安全且不易出错。
如果手动使用CURLOPT_HTTPHEADER设置Authorization，必须自己调用base64_encode。下面分别给出两种写法。注意，Basic认证仅对HTTPS安全，明文HTTP会被中间人直接解码。以下示例演示标准用法：
<?php
// 方法一：使用CURLOPT_USERPWD（推荐）
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://api.ipipp.com/v1/user');
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_USERPWD, 'demo_user:demo_pass');
$resp = curl_exec($ch);
curl_close($ch);
// 方法二：手动设置头部
$token = base64_encode('demo_user:demo_pass');
$ch2 = curl_init();
curl_setopt($ch2, CURLOPT_URL, 'https://api.ipipp.com/v1/user');
curl_setopt($ch2, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch2, CURLOPT_HTTPHEADER, array(
'Authorization: Basic ' . $token
));
$resp2 = curl_exec($ch2);
curl_close($ch2);
?>
除了Basic认证，很多现代API使用Bearer Token。此时不能再用CURLOPT_USERPWD，而应直接往CURLOPT_HTTPHEADER里加Authorization: Bearer 令牌值。这种方案把令牌放在头里，不会出现在URL中，降低泄露概率。
三、自定义请求头的添加与冲突处理
CURLOPT_HTTPHEADER接收一个索引数组，每个元素是一个完整头字符串，如Accept: application/json。cURL不会自动合并同名字段，如果多次设置同一个头，多数服务器以最后一次为准，部分网关会拼接。因此建议把所有自定义头集中到一个数组里传入。
一个常见坑是设置Content-Type于GET请求。GET没有 body，设了也可能被忽略，但若后端框架误读会造成415错误。下面示例同时携带认证头与业务头，完成一次带鉴权的GET调用：
<?php
$ch = curl_init();
$url = 'https://api.ipipp.com/v1/orders?status=paid';
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, array(
'Authorization: Bearer abc123token',
'Accept: application/json',
'X-Client-Version: 1.0.2'
));
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
$data = curl_exec($ch);
if ($data === false) {
echo curl_error($ch);
} else {
$list = json_decode($data, true);
print_r($list);
}
curl_close($ch);
?>
上述代码开启了SSL证书校验，避免中间人攻击。如果在内网测试自签证书，可临时关闭，但生产环境务必开启。自定义头名称若含下划线，部分旧版Nginx默认会丢弃，需服务端配置underscores_in_headers on;才能接收。
四、完整封装函数示例
为方便复用，可以把GET请求封装成函数，统一处理认证与头部。这样业务层只需传URL、令牌与额外头，不必重复写cURL配置。以下示例支持Bearer与Basic两种模式：
<?php
function curl_get_with_auth($url, $headers = array(), $basicUser = null, $basicPass = null) {
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_TIMEOUT, 15);
$finalHeaders = $headers;
if ($basicUser !== null && $basicPass !== null) {
curl_setopt($ch, CURLOPT_USERPWD, $basicUser . ':' . $basicPass);
}
if (!empty($finalHeaders)) {
curl_setopt($ch, CURLOPT_HTTPHEADER, $finalHeaders);
}
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
$result = curl_exec($ch);
$error = curl_error($ch);
curl_close($ch);
return $error ? array('error' => $error) : array('data' => $result);
}
$resp = curl_get_with_auth(
'https://api.ipipp.com/v1/profile?id=10',
array('Accept: application/json'),
'demo_user',
'demo_pass'
);
print_r($resp);
?>
该函数将错误以数组返回，调用方能够清晰判断是网络层失败还是接口正常响应。在实际项目中，还可以加入重试机制与日志，但核心的头部与认证设置逻辑与上述一致。掌握这些配置，就能稳定地完成绝大多数带鉴权的GET接口对接。
PHPcURLGET_request修改时间：2026-08-03 07:09:30