使用CyberSource沙箱凭证调用发票API遇401未授权问题求助

问题背景 #

已创建HTTP签名认证的共享密钥，使用该凭证在CyberSource开发者playground中调用支付API可正常返回200 OK，但调用创建发票API时始终收到401错误，错误响应如下：

{
  "submitTimeUtc": "2023-05-25T06:07:10.578Z",
  "status": "UNAUTHORIZED",
  "reason": "Unauthorized",
  "message": "Unauthorized Request"
}

可能原因及解决办法 #

1. 发票API权限未开通 #

支付服务与发票服务是CyberSource独立的服务模块，你的共享密钥对应的商户账户可能未启用Invoicing服务权限。

• 解决：登录CyberSource商户管理后台，检查服务权限配置，确认Invoicing服务已启用；若未开通，联系CyberSource支持团队申请开通该权限。

2. 签名生成逻辑存在差异 #

不同API对HTTP签名的计算要求可能存在细节差异，比如请求路径、请求体哈希、头字段的处理：

• 核对发票API的请求URI是否正确（注意路径中的版本号、资源名称是否和官方要求一致）
• 确认签名计算时包含了所有必填参数：请求方法、URI、当前UTC时间戳、随机nonce、请求体的SHA-256哈希（对应Digest头）
• 检查Signature头的格式是否符合要求，比如算法指定为HMAC-SHA256，且签名值的编码方式正确

3. 调用环境不匹配 #

测试环境与生产环境的凭证是相互独立的，若支付API用的是测试环境凭证，但发票API调用了生产环境（或反之），会导致认证失败。

• 解决：确认发票API的调用域名、端口与支付API一致，确保凭证与环境匹配。

4. 请求头缺失或错误 #

发票API可能要求特定的请求头字段，遗漏或错误会触发401：

• 检查Content-Type是否设置为application/json（与请求体格式匹配）
• 确认v-c-merchant-id头的值与共享密钥对应的商户ID完全一致
• 对比playground中发票API的示例请求头，确保所有必填头字段都已正确设置

内容的提问来源于stack exchange，提问作者AliOz