调用Workday REST API发票端点时遇权限拒绝错误（代码S22）

• 确认端点路径的正确性
  你当前调用的{baseURL}/api/customerAccounts/v1/{myCompany}/invoices可能并非目标发票数据的正确端点。Workday中，项目账单类发票通常对应/api/projectBilling/v1/{tenantId}/invoices端点，而客户账户下的发票端点仅适用于特定场景（如应收款发票）。建议核对Workday API文档中你所需发票类型的官方端点路径。

• 细化安全权限配置
  仅添加Customer Accounts和Project Billing权限范围可能不足以访问目标端点，Workday的API权限需结合细粒度领域安全权限：

  1. 找到ISU所属的安全组，确保该组被授予View Invoice（或对应具体操作的权限，如View Project Billing Invoices）这类具体权限；
  2. 解码访问令牌（用JWT解析工具），确认令牌内的scope字段是否包含customer_accounts:read、project_billing:read这类所需的权限标识。

• 验证租户参数准确性
  确认路径中的{myCompany}是正确的Workday租户别名（Tenant Alias），而非公司全称或其他无关标识。租户参数错误也可能触发权限类报错。

• 检查权限生效状态
  Workday的权限变更有时需要10-15分钟的生效周期，即使重新获取访问令牌也可能需要等待。同时确认ISU是否处于激活状态，未被误设为禁用。

• 排查上下文权限限制
  部分Workday API端点要求调用者具备特定业务上下文权限，比如关联特定成本中心或业务单元的访问权限。可以尝试用具备全局权限的测试账号调用同一端点，排除上下文限制导致的权限问题。

内容的提问来源于stack exchange，提问作者Rodrigo Escobar