使用.Net Standard SDK调用Xero API创建银行账户时遇403错误

问题背景 #

集成Xero API时，请求令牌的权限范围包含：openid profile email offline_access files accounting.transactions accounting.contacts accounting.settings。执行以下代码时返回403错误：

var bankAccount = await _accountingApi.CreateAccountAsync(token.AccessToken, token.Tenants.FirstOrDefault()?.ToString(), new Account
{
    Type = AccountType.BANK,
    BankAccountType = Account.BankAccountTypeEnum.BANK,
    Name = "Clearing Account",
    BankAccountNumber = "00000000"
}, null, cancellationToken);

根据Xero文档中Account创建操作的说明，该操作应允许执行，需排查忽略的问题点。

可能的原因及排查方向 #

• 权限范围未正确授予：虽然请求了accounting.settings权限，但需验证令牌实际包含的权限。可通过Xero的令牌校验工具确认该权限是否被成功授予，部分场景下权限请求可能未被租户完全同意。
• 租户ID无效或无权限：token.Tenants.FirstOrDefault()?.ToString()可能返回空值，或该租户对应的组织未授权应用进行账户创建操作。需确保租户ID有效，且组织已同意应用访问其会计数据。
• 字段格式不符合要求：部分地区的Xero组织对银行账号格式有严格要求，全0的BankAccountNumber可能不符合规则。即使字段校验不通过，Xero有时会返回403错误而非字段错误，建议替换为符合目标地区格式的测试账号。
• 应用平台权限限制：在Xero开发者平台的应用设置中，确认应用是否被允许执行账户创建操作。部分应用可能因类型或配置限制，无法执行特定会计操作。
• 令牌状态异常：检查AccessToken是否过期，或租户是否已撤销应用权限。过期或失效的令牌会导致权限验证失败，返回403错误。

内容的提问来源于stack exchange，提问作者5NRF