Xero API删除Payment请求返回403 Forbidden故障求助

问题背景 #

此前https://api.xero.com/api.xro/2.0/Payments端点可正常处理获取（GET）、创建（POST）、删除（DELETE）Payment请求，但昨日起DELETE请求被拒绝，返回403 Forbidden。已排除以下常见问题：

• 未修改代码逻辑
• 使用Demo Company，凭证未过期
• 更换应用、租户后问题依旧
• 检查授权Scopes并多次重连无效
• 提交错误格式请求可正常收到Bad Request提示，Xero Postman测试显示请求合法但服务器拒绝响应

排查与解决建议 #

• 确认权限Scope的有效性
  再次核对授权时的Scope列表，确保包含payments.write权限（Xero API中该权限通常覆盖支付项的增删改操作）。若之前授权的Scope无误，尝试重新发起授权流程，避免因授权缓存导致的权限异常。

• 检查Demo环境的临时限制
  Xero可能对Demo Company的特定操作进行临时调整或维护，导致删除功能被禁用。查看Xero官方开发者状态公告，确认Payments API是否存在服务变更或限制通知。

• 核对请求签名与头信息
  即使Postman判定请求合法，仍需仔细校验请求头的Authorization、Xero-tenant-id字段是否准确，同时检查本地系统时间是否与UTC时间偏差过大（签名验证对时间敏感），避免因签名验证失败返回403。

• 提交官方支持工单
  若以上排查均无效果，收集请求的Xero-Request-ID（响应头中获取）、租户ID、应用ID，提交Xero开发者支持工单，让官方排查服务器端的权限配置或服务异常。

内容的提问来源于stack exchange，提问作者Wender Corrêa Mendonça