使用个人访问令牌的Tableau REST API失效，如何排查？

问题背景 #

现有调用Tableau REST API的自动化程序，采用PAT认证，此前运行正常，昨日起查询失败：

• 使用tableauserverclient（TSC）库执行代码时，返回403错误提示"Invalid username or password"
• 直接用curl调用auth/signin接口，返回401001错误提示"The personal access token you provided is invalid"
• 多次生成新令牌后问题依旧

排查方向 #

• 检查站点Content URL的准确性
  Tableau的contentUrl是站点的URL后缀（区分大小写），而非站点显示名称：

  • 默认站点的contentUrl为空字符串，不要填default或其他值
  • 确认目标站点的contentUrl与Server后台配置一致，比如站点URL为https://your-server.com/sales，则contentUrl为sales
  • 检查代码和curl请求中是否正确替换了{{content-url}}占位符

• 验证令牌的权限与绑定关系

  • 生成新令牌时，确认是否勾选了目标站点，且令牌的权限范围足够（比如至少有View权限，操作工作簿需对应权限）
  • 检查令牌的过期时间，确认未被提前设置为过期，或管理员是否修改了全局PAT过期策略
  • 确认生成令牌的用户账号未被禁用、锁定，或被移出目标站点

• 核对API版本与TSC库兼容性

  • curl请求使用的是API 3.6，确认Tableau Server版本是否兼容该API版本（需匹配Server版本与对应API版本）
  • TSC库中use_server_version=True会自动适配Server版本，若该逻辑失效，可尝试指定明确的API版本（如server.version = '3.10'）
  • 检查TSC库版本是否过旧，尝试更新到最新版本后测试

• 排查网络与代理问题

  • 确认程序所在服务器能正常访问Tableau Server，无防火墙、安全组拦截请求
  • 若使用代理，检查代理是否允许传递认证Header，或是否需要额外代理认证
  • 验证curl请求中的{{server}}是否为完整正确的URL（如带https://，无多余斜杠），可直接替换为实际URL测试

• 检查Tableau Server配置与日志

  • 查看Server的vizportal日志，获取更详细的认证失败原因（如令牌签名无效、站点不匹配等）
  • 确认管理员未禁用PAT功能，或未启用影响PAT的安全策略（强制MFA不影响PAT，可排除此点）
  • 检查Server是否有近期升级或SSL证书变更，若存在，测试curl请求添加-k参数跳过SSL验证，排查证书问题

• 确认令牌复制的正确性

  • 生成PAT时，Secret仅显示一次，检查复制时是否遗漏字符、多添空格或换行符
  • 验证代码和curl请求中，令牌名称（personalAccessTokenName）和Secret（personalAccessTokenSecret）是否完全匹配生成的信息，无占位符残留

内容的提问来源于stack exchange，提问作者Juri Krainjukov