讯飞星火API不支持PHP直接POST明文JSON，因需严格认证：Authorization头签名、X-CurTime时间戳（5分钟内）、X-Param和X-Data均须AES-128-CBC+PKCS7加密并Base64编码；否则返回401（签名错误）或403（解密失败）。
讯飞星火 API 不支持直接用 PHP 通过简单 POST 请求调用——它要求严格的身份认证（Authorization 头）、时间戳签名、以及请求体加密（body 必须是 AES-128-CBC 加密后的 Base64 字符串），不是发个 JSON 就能跑通的。
为什么 curl_post() 或 file_get_contents() 直接发 JSON 会返回 401 或 403
星火接口（如语义理解 /v2.1/sse 或 /v2.1/chat）不接受明文 JSON。服务端会校验：Authorization 头中的 auth_token 签名、X-CurTime 时间戳是否在 5 分钟内、X-Param 是否为合法加密后的参数 JSON、X-Data 是否为加密后的业务数据。任意一项失败，就拒收。
-
401：常见于auth_token签名错误或过期（AppID + AppSecret + CurTime 拼接后 HMAC-SHA256 错误） -
403：多因X-Param解密失败（AES 密钥/IV 不匹配，或 JSON 结构不符合星火要求） - 明文 POST body 会被直接拦截，返回
{"message":"invalid request"}
PHP 实现 AES-128-CBC 加密必须注意的三个点
星火要求 X-Param 和 X-Data 都是 AES-128-CBC（PKCS7 填充）+ Base64 编码。PHP 的 openssl_encrypt() 默认填充行为和 IV 处理极易出错。
- 密钥（
$key）必须是 16 字节 —— 不能直接用 AppSecret 字符串，要substr(md5($appSecret), 0, 16) - IV 必须是 16 字节随机值，且每次请求都不同；但加密
X-Param和X-Data必须用**同一个 IV** - 必须显式指定
OPENSSL_ZERO_PADDING并手动 PKCS7 补齐，否则解密失败（星火服务端不兼容 OpenSSL 默认填充）
function pkcs7_pad($data, $block_size = 16) {
$pad_len = $block_size - (strlen($data) % $block_size);
return $data . str_repeat(chr($pad_len), $pad_len);
}
function aes128_cbc_encrypt($plaintext, $key, $iv) {
$padded = pkcs7_pad($plaintext);
return base64_encode(openssl_encrypt($padded, 'AES-128-CBC', $key, OPENSSL_RAW_DATA, $iv));
}
构造合法 Authorization 头和请求头的关键字段
星火的 Authorization 是一个固定格式字符串：Bearer ${base64(appId:token)}，其中 token 是 HMAC-SHA256 签名，不是 JWT。
立即学习“PHP免费学习笔记（深入）”；
-
X-CurTime：当前 Unix 时间戳（秒级，不是毫秒）(string)time() -
X-Param：加密后的配置 JSON，例如{"chat_type":"semantic","domain":"general"} -
X-Data：加密后的业务数据 JSON，例如{"text":"今天天气怎么样"} -
Authorization：先拼$appId . ':' . $curTime，再 HMAC-SHA256($signStr, $appSecret)，最后base64_encode($appId . ':' . $hmac)
$curTime = (string)time();
$signStr = $appId . ':' . $curTime;
$hmac = hash_hmac('sha256', $signStr, $appSecret, true);
$auth = 'Bearer ' . base64_encode($appId . ':' . $hmac);
IV 和密钥一旦写死、时间戳未同步、或 X-Param 中缺少 chat_type 字段，请求就必然失败。星火文档里没明说，但语义理解场景必须设 "chat_type":"semantic"，否则当成普通对话处理，结果不一致。