最稳妥做法是用 http_build_query() 生成 POST 参数字符串并传给 CURLOPT_POSTFIELDS；若接口要求 JSON，则需 json_encode() 配合 Content-Type: application/json 头；动态参数须过滤校验，推荐用 curl_setopt_array() 统一管理配置。
PHP 用 curl_setopt() 拼接动态 POST 参数最稳妥
直接用 http_build_query() 生成参数字符串，再传给 curl_setopt($ch, CURLOPT_POSTFIELDS, $data)，是绝大多数场景下最可靠的做法。手动拼 key=value&key2=value2 容易漏转义、混编码、丢空格，尤其当值含中文、斜杠、加号或 JSON 字符串时，curl 会静默失败或服务端收不到完整字段。
常见错误现象：curl_exec() 返回空响应、服务端记录到空参数、$_POST 为空数组；本质是未对值调用 urlencode() 或误用了 rawurlencode()（后者把空格转成 %20，而 application/x-www-form-urlencoded 要求空格为 +）。
-
http_build_query()自动按规范处理空格、中文、特殊字符，且默认使用 UTF-8 编码 - 若参数中含数组（如
['tags' => ['php', 'curl']]），它会生成tags[0]=php&tags[1]=curl，服务端 PHP 可原样解析为数组 - 避免直接拼字符串：比如
$data = "name=".urlencode($name)."&id=".$id——$id若未过滤或含非数字字符，可能引入漏洞或截断
POST JSON 数据时别设错 Content-Type
如果后端接口明确要求 application/json，就不能用 http_build_query()，必须用 json_encode() 并显式设置头。否则服务端（尤其是 Node.js、Spring Boot）会忽略请求体，返回 400 或空数据。
关键点在于：curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($data)) 必须搭配 curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json'])，缺一不可。
立即学习“PHP免费学习笔记（深入）”；
- 不设
Content-Type头，cURL 默认发application/x-www-form-urlencoded，后端不会尝试 JSON 解析 - 设了头但没用
json_encode()，比如直接传数组，cURL 会发字符串Array，后端收到的是无效 JSON - 用
json_encode($data, JSON_UNESCAPED_UNICODE)可保留中文不转 Unicode，避免服务端多一层解码
动态参数来自表单或 URL 时，先过滤再拼
用户输入的 $_GET 或 $_POST 值不能直接进请求体。比如前端传来 callback=https://evil.com/steal?xss=，你原样转发就等于帮对方完成一次 SSRF 或 XSS 中继。
真实项目里，应只取白名单字段，并对值做最小化清理：
- 整数 ID：用
(int)$id或filter_var($id, FILTER_VALIDATE_INT) - 用户名、标题类文本：用
trim()+htmlspecialchars($s, ENT_NOQUOTES, 'UTF-8')防止注入，但注意不要双重 HTML 转义（服务端若也转义，显示会变成 zuojiankuohaophpcnscriptyoujiankuohaophpcn） - URL 类参数（如
redirect_uri）：用filter_var($url, FILTER_VALIDATE_URL)，且限定协议为https?，域名白名单校验 - 绝不信任
$_SERVER['HTTP_REFERER']或$_SERVER['QUERY_STRING']的原始值
curl_setopt_array() 让动态参数配置更清晰
当需要频繁切换 POST 目标、超时、证书验证等选项时，硬写一堆 curl_setopt() 易出错。用 curl_setopt_array($ch, $options) 把所有配置集中声明，逻辑一目了然，也方便条件覆盖。
示例中动态开关 CURLOPT_SSL_VERIFYPEER 和 CURLOPT_TIMEOUT 很典型：本地调试常关证书验证，线上必须开；批量请求要延长超时，单次交互则设短些防卡死。
- 把
CURLOPT_POSTFIELDS放进数组里，和其它选项平级，避免遗漏或顺序错乱 - 数组键名必须是
CURLOPT_*常量，不能写字符串"CURLOPT_POSTFIELDS"，否则无效 - 若某次请求需临时禁用重定向，加
CURLOPT_FOLLOWLOCATION => false即可，不用改主逻辑
动态拼参真正难的不是语法，而是判断「这个参数该不该传」「传之前要不要查数据库校验」「传过去的服务端是否接受空字符串或 null」——这些逻辑藏在业务里，curl 只负责不出错地送过去。
