Yahoo OAuth权限问题：部分用户拉取梦幻橄榄球联盟时401错误

架构老林

2026-6-23

问题诊断与修复方案

核心原因：权限范围不匹配

你碰到的401错误，本质是当前设置的OAuth scope不足以覆盖部分用户的梦幻橄榄球联盟访问需求。目前你用的fspt-w是梦幻体育读写权限，但部分用户的联盟（比如私人联盟）可能需要更完整的权限，或者你的授权流程存在scope前后不一致的问题。

具体修复步骤

1. 调整Scope参数

Yahoo梦幻体育API对不同资源的访问有明确的权限要求，针对你拉取联盟设置的场景，建议把scope调整为：

scope: 'openid fspt-r fspt-w'

其中：

fspt-r：梦幻体育只读权限，确保能正常拉取联盟配置、球队信息等只读资源
fspt-w：保留原有的读写权限，满足后续可能的修改操作
openid：维持用户身份识别的基础权限

2. 确保授权全流程Scope一致

注意：前端引导用户跳转Yahoo授权页面时的scope，必须和后端换token时的scope完全一致。如果前端只传了openid fspt-w，哪怕后端换token时加了fspt-r也没用，两端必须统一配置。

3. 处理私人联盟权限

部分用户的联盟是私人/受限模式，这类资源需要用户明确授权：

让报错的用户重新走一遍授权流程，确保Yahoo授权弹窗里明确显示了「访问梦幻体育联盟」的权限选项
确认用户在授权时勾选了对应的权限

4. 验证Token实际权限

可以加个小工具函数，检查当前token实际包含的scope，确认权限是否生效：

async function verifyTokenScope(accessToken) {
  const res = await fetch('https://api.login.yahoo.com/openid/v1/userinfo', {
    headers: { 'Authorization': `Bearer ${accessToken}` }
  });
  const userInfo = await res.json();
  console.log('当前Token的权限范围:', userInfo.scope);
}