Para entender lo que le falta y sobra a lo que ya haces, primero debes entender el comando que encontraste en el ejemplo.

Al ejecutar curl en la línea de comandos, los [modificadores][1] que encontramos son:

* [`-H`][2], establece un header
* [`-d`][3], establece un _dato_ a enviar en un request tipo POST.

El equivalente en `curl` para PHP sería llamar a [`curl_setopt`][4] con las opciones:

* `CURLOPT_HTTPHEADER`, que debe recibir:
  > Un array de campos a configurar para el header HTTP, en el formato: `array('Content-type: text/plain', 'Content-length: 100')`

* `CURLOPT_POSTFIELDS`, que debe recibir 
  > Todos los datos para enviar vía HTTP "POST"
  > ...
  > Se puede enviar una cadena urlencoded como `'para1=val1&para2=val2&...'`



En ambos casos, la llamada de línea de comandos va agregando los headers y datos individuales uno a uno, mientras la llamada en PHP debe pasarlos todos en un solo arreglo.

Así, suponiendo que las variables correctas están en su lugar, la llamada podría traducirse en algo como:

```
//inicializar las variables necesarias, por ejemplo leyendolas de un objeto de configuración:

$APP_ID = $cfg->appid;
$SECRET_KEY = $cfg->secretkey;
//etc. Todas las variables deben estar inicializadas o usar constantes

$url = "https://api.mercadolibre.com/oauth/token";
$curl = curl_init();
curl_setopt($curl, CURLOPT_URL, $url);
curl_setopt($curl, CURLOPT_POST, 1);
curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);

$headers = array(
    'accept: application/json',
    'content-type: application/x-www-form-urlencoded',
);
curl_setopt($curl, CURLOPT_HTTPHEADER, $headers);

$data = 
    'grant_type=authorization_code'
   .'&client_id='.urlencode($APP_ID)
   .'&client_secret='.urlencode($SECRET_KEY)
   .'&code='.urlencode($SERVER_GENERATED_AUTHORIZATION_CODE)
   .'&redirect_uri='.urlencode($REDIRECT_URI)
   .'&code_verifier='.urlencode($CODE_VERIFIER)

curl_setopt($curl, CURLOPT_POSTFIELDS, $data);
$data = curl_exec($curl);
curl_close($curl);
```

Dado que desconozco el tipo de información que hay en esas variables, estoy yendo por la vía segura llamando a [`urlencode()`][5] con cada una y así asegurarme que los datos van bien codificados en caso de haber caracteres especiales, espacios, etc.

Advertencia: He escrito el código aquí mismo en la respuesta, puede contener algún error, pero entendiendo la idea y con ayuda de la documentación puedes producir una versión funcional. En todo caso, si hay errores o algo no funciona, dejame un comentario y vemos de que se trata.

**Edición**: Había un error en la respuesta original, pues enviaba incorrectamente los datos del post como `multipart/form-data`, mientras el header decía que iban en `x-www-urlencoded`.

El extracto de la documentación original relacionado a `CURLOPT_POSTFIELDS` era:

> Todos los datos para enviar vía HTTP "POST"
> ...
> como un array con el nombre del campo como key y los datos como value

Que justo después dice:

> Si value es un array, el encabezado Content-Type será definido como multipart/form-data

Por lo tanto, hay que pasar un string con la forma adecuada. El código de la respuesta original era este:

```
$data = array(
    'grant_type' => 'authorization_code'
  , 'client_id' => $APP_ID
  , 'client_secret' => $SECRET_KEY
  , 'code' => $SERVER_GENERATED_AUTHORIZATION_CODE
  , 'redirect_uri' => $REDIRECT_URI
  , 'code_verifier' => $CODE_VERIFIER
);
curl_setopt($curl, CURLOPT_POSTFIELDS, $data);
```

Lo dejo aquí si alguien en el futuro llega a este punto tratando de hacer un POST en `multipart/form-data`, seguro le puede ser útil. También para resolver la misma confusión que había en la respuesta original.

[1]: https://curl.se/docs/manpage.html
[2]: https://curl.se/docs/manpage.html#-H
[3]: https://curl.se/docs/manpage.html#-d
[4]: https://www.php.net/manual/es/function.curl-setopt.php
[5]: https://www.php.net/manual/en/function.urlencode.php