Amazon SP-API沙箱Orders API返回403未授权：含LWA令牌与SigV4签名仍报错

一、沙箱环境该端点的已知问题 #

目前官方未标记该沙箱端点存在普遍性故障，但需注意：

• 沙箱权限同步存在15-30分钟延迟，刚创建/变更的角色权限不会立即生效
• 沙箱的测试逻辑与生产不完全一致，部分边缘场景可能触发非预期校验

二、TEST_CASE值的影响 #

TEST_CASE_200是标准成功测试用例，本身不会触发"令牌缺失"错误，但需排查：

• 是否同时携带了非沙箱参数（比如真实MarketplaceId），导致沙箱校验逻辑异常，错误提示失真
• 确认未误用TEST_CASE_401这类强制返回授权错误的测试值

三、沙箱权限缺失的可能性 #

这是最可能的根因，重点检查：

• AssumeRole角色是否关联了包含沙箱资源的SellingPartnerApiOrders权限策略，资源ARN需明确包含sandbox标识，例如：arn:aws:execute-api:us-east-1::sandbox.sellingpartnerapi-na.amazon.com/orders/v0/orders
• LWA令牌对应的卖家账号是否完成了SP-API应用的订单权限授权，沙箱授权流程与生产一致，需确保授权未过期

额外排查点 #

• 请求头签名范围：检查botocore的SigV4Auth是否将x-amzn-access-token纳入签名计算，若该头被排除在签名范围外，服务端会判定令牌缺失
• 令牌格式：确认x-amzn-access-token值无多余空格或转义字符，直接使用LWA返回的access_token原始值
• Session请求头覆盖：使用requests.Session()时，排查是否存在会话自动修改/覆盖x-amzn-access-token的情况

内容的提问来源于stack exchange，提问作者atsushimemet