在 eBay 生产环境中使用 Refresh Token 获取新 Access Token 时，若出现“invalid scope”错误，核心原因是刷新请求中指定的 scope 与初始授权时用户同意的范围不一致；解决方案是严格复用原始 scope 或直接省略 scope 参数。
在 ebay 生产环境中使用 refresh token 获取新 access token 时，若出现“invalid scope”错误，核心原因是刷新请求中指定的 `scope` 与初始授权时用户同意的范围不一致；解决方案是严格复用原始 scope 或直接省略 scope 参数。
在 eBay OAuth 2.0 流程中，refresh_token 并非万能“重发器”——它只能用于续期已获用户明确授权的权限范围（即 scopes）。一旦在刷新请求中显式传入与初始授权不一致的 scope（包括多传、少传、拼写错误或使用未授权的 scope），eBay API 将立即返回 invalid_scope 错误，即使你传入了基础 scope https://api.ebay.com/oauth/api_scope。
✅ 正确做法：复用原始 scope 或完全省略
推荐方案（最安全）：省略 scope 参数
eBay 官方文档明确指出：“If you omit the scope parameter, the new access token will have all the scopes granted in the original authorization request.”
这意味着只要不传 scope，系统将自动继承首次授权时用户批准的所有权限，无需手动维护 scope 字符串，彻底规避不一致风险。备选方案：严格复用原始 scope
若业务必须显式指定 scope，请确保 $scopes 变量的值与用户首次跳转授权 URL（如 /oauth/api/authorize?scope=...）中传递的 scope 完全一致（顺序、编码、空格均需相同）。建议将首次授权的 scope 存储在数据库或 session 中，并在刷新时原样读取。
? 修正后的 PHP 示例代码：
$curl = curl_init();
$tokenUrl = 'https://api.ebay.com/identity/v1/oauth2/token';
// ✅ 推荐：完全省略 scope 参数（最稳妥）
$postFields = http_build_query([
'grant_type' => 'refresh_token',
'refresh_token' => $refreshToken,
// ⚠️ 注意：此处不传 'scope' 键
]);
curl_setopt_array($curl, [
CURLOPT_URL => $tokenUrl,
CURLOPT_RETURNTRANSFER => true,
CURLOPT_POST => true,
CURLOPT_POSTFIELDS => $postFields,
CURLOPT_HTTPHEADER => [
'Content-Type: application/x-www-form-urlencoded',
'Authorization: Basic ' . base64_encode($clientId . ':' . $certId)
],
]);
$response = curl_exec($curl);
$httpCode = curl_getinfo($curl, CURLINFO_HTTP_CODE);
curl_close($curl);
if ($httpCode === 200) {
$tokenData = json_decode($response, true);
$newAccessToken = $tokenData['access_token'];
$expiresIn = $tokenData['expires_in']; // 单位：秒
} else {
throw new Exception("Token refresh failed: HTTP {$httpCode}, " . $response);
}⚠️ 关键注意事项：
立即学习“PHP免费学习笔记（深入）”；
- 不可动态增减 scope：Refresh Token 无法扩展权限。如需新增 scope（例如从只读升级到 https://api.ebay.com/oauth/api_scope/sell.inventory），必须引导用户重新完成完整 OAuth 授权流程（含 consent 页面），获取全新的 code → access_token + refresh_token。
- Production 环境无宽恕：沙箱中部分 scope 行为可能宽松，但生产环境校验极其严格，务必以 eBay OAuth 文档 为准。
- Scope 编码需谨慎：若必须传 scope，请用 rawurlencode()（而非 urlencode()）处理，避免空格被转为 +（eBay 要求空格保持为 %20）。但再次强调——省略才是首选。
? 总结：eBay 的 Refresh Token 是“权限快照”的延续，而非新授权入口。坚持“省略 scope”原则，可大幅降低集成复杂度与出错概率，让 OAuth 流程更健壮、可维护性更强。
