Invoke-RestMethod调用Jira Cloud接口返回401但同参数cURL正常

相同凭据下cURL调用正常、PowerShell Invoke-RestMethod 始终返回401的核心原因是Windows PowerShell（5.1及以下版本）的认证逻辑和cURL存在差异：

• cURL加了--user参数时，会在首次发起请求时直接携带Authorization: Basic <base64凭据>请求头，不需要等待服务端返回认证挑战
• PowerShell的Invoke-RestMethod直接传入-Credential参数时，默认不会在首次请求带认证头，会先发起匿名请求，等服务端返回401且携带符合Windows认证规范的WWW-Authenticate挑战头时，才会把凭据按协商的认证方式附加到请求中。Jira Cloud的接口返回401时不会返回PowerShell可识别的Basic认证挑战头，导致PowerShell全程不发送你传入的凭据，最终触发401错误。

另外你的函数还存在一个逻辑bug，会导致多用户传入时执行异常：$User参数定义为数组类型，但代码中没有遍历单个用户对象，直接调用$user.AccountId、$user.EmailAddress会取数组的批量属性，判断逻辑失效。

按以下步骤修改代码即可解决问题：

1. 手动构造Basic认证请求头，绕开PowerShell的自动认证协商逻辑，不要在Invoke-RestMethod中传入-Credential参数
   替换你原来构造$parameter的代码段，先手动生成认证头：

   # 手动构造Basic认证头，和cURL的--user参数逻辑完全一致
   $authPair = "$($Credential.UserName):$($Credential.GetNetworkCredential().Password)"
   $b64Auth = [Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes($authPair))
   $requestHeaders = @{
       'Accept' = 'application/json'
       'Content-Type' = 'application/json'
       'Authorization' = "Basic $b64Auth"
   }
   

2. 修正请求参数，移除Credential字段，使用手动构造的请求头：

   $parameter = @{
       URI        = $resourceURi -f ($groupObj.RestURL -split ("groupID="))[1]
       Method     = "POST"
       Headers    = $requestHeaders
       Body       = ConvertTo-Json -InputObject @{ 'accountId' = $_user.AccountId }
   }
   

3. 补全用户遍历逻辑，在遍历分组的循环内层增加单用户遍历，解决多用户传入的逻辑问题：

   foreach ($_group in $Group) {
       # 原有分组查询、成员查询逻辑保留
       $groupObj = Get-JiraGroup -GroupName $_group -Credential $Credential -ErrorAction Stop
       $groupMembers = (Get-JiraGroupMember -Group $_group -Credential $Credential -ErrorAction Stop).AccountId
   
       # 新增单用户遍历
       foreach ($_user in $User) {
           if ($groupMembers -notcontains $_user.AccountId) {
               # 原有构造请求、调用接口的逻辑放在这里，所有用户属性调用替换为$_user
               # ...
           }
           else {
               Write-Warning -Message "User [$($_user.EmailAddress)] is already a member of group [$_group]"
           }
       }
   }
   

如果需要确认问题，可以在调用Invoke-RestMethod时加上-Verbose参数查看请求日志，就能看到之前的请求确实没有携带认证头；修改后可以直接在日志中看到Authorization头已正常附加，和你在Ubuntu中执行的cURL请求结构完全一致。

注意：Jira Cloud环境不支持直接使用用户登录密码做接口认证，需要使用用户邮箱+账号下生成的API Token作为Basic认证的凭据，这部分和你cURL调用时使用的凭据保持一致即可。

内容的提问来源于stack exchange，提问作者Xanderu