调用Azure Search AI端点返回401错误，排查其他可能原因

我使用以下代码完成Azure Search身份认证并发起查询请求：

cred = DefaultAzureCredential()
token = cred.get_token(api)
params = {'api-version': os.environ['AZURE_SEARCH_API_VERSION']}
headers = {'Authorization': f'Bearer {token}','Content-Type': 'application/json'}

search_payload = {
        "search": QUESTION, # Text query
        "select": "id, title, name, location, chunk",
        "queryType": "semantic",
        "vectorQueries": [{"text": QUESTION, "fields": "chunkVector", "kind": "text", "k": k}], # Vector query
        "semanticConfiguration": "my-semantic-config",
        "captions": "extractive",
        "answers": "extractive",
        "count":"true",
        "top": k
    }

r = requests.post(os.environ['AZURE_SEARCH_ENDPOINT'] + "/indexes/" + index + "/docs/search",
                     data=json.dumps(search_payload), headers=headers, params=params)

但请求返回401错误状态码。备注：我拥有Search Index Data Reader权限，且应用已配置身份标识，请问还有哪些可能导致该问题的原因？

可能的原因排查 #

• api 参数范围错误：调用get_token(api)时，必须传入Azure Cognitive Search的正确范围https://search.azure.com/.default，范围填写错误会导致获取的令牌无法被服务识别，触发401。
• 令牌提取方式错误：cred.get_token(api)返回的是AccessToken对象，不是直接的令牌字符串，正确写法应为token.token。如果直接使用token，会把整个对象转成字符串，导致Authorization头无效。
• 环境变量配置问题：检查AZURE_SEARCH_ENDPOINT是否存在拼写错误或多余后缀（比如末尾的/），错误的URL会导致服务无法正确解析身份信息；同时确认AZURE_SEARCH_API_VERSION是服务支持的有效版本，版本不匹配也可能引发权限验证失败。
• 权限分配问题：确认Search Index Data Reader权限是直接分配到应用身份上，而非通过组继承（组权限可能存在同步延迟）；同时检查权限的作用范围是否覆盖了目标索引，避免误分配到其他资源。
• 本地环境身份冲突：本地运行代码时，DefaultAzureCredential会依次尝试多种身份源（Azure CLI、Visual Studio等），可能意外使用了无权限的本地账户。可以指定仅使用托管身份，或通过AZURE_CLIENT_ID环境变量明确指定应用身份。
• 语义搜索权限缺失：查询使用了语义搜索功能（queryType: semantic），除Search Index Data Reader外，还需确保身份拥有Semantic Search Reader权限，部分场景下仅Data Reader权限无法访问语义搜索。
• 令牌有效性问题：虽然DefaultAzureCredential会自动刷新令牌，但如果代码缓存了过期令牌，或网络问题导致获取的令牌无效，也会返回401。可尝试在请求前重新获取令牌，添加过期检查逻辑。

内容的提问来源于stack exchange，提问作者Maths12