Forge调用BIM360 API报AUTH-010令牌无效或过期错误如何解决

报错信息：AUTH-010 Access token provided is invalid or expired
典型场景：4套逻辑、代码完全一致的Forge应用，配置、测试账号、项目权限完全相同，3套应用全接口调用正常，仅生产环境应用在3LT调用Get Hubs接口成功后，立刻调用hq/v1/accounts/:account_id/projects接口时返回上述错误，可排除令牌过期可能。

按以下优先级逐个排查，90%以上的同场景问题都能定位：

• 优先核对BIM360账号侧的集成白名单配置
  不要只看Forge开发者后台的API勾选状态，登录出问题环境对应的BIM360 Account管理后台，进入「自定义集成」列表，确认出问题应用的Client ID是否真的被加入当前账号的授权列表，且已勾选Account Administration、Document Management的对应权限。
  注意：Data Management的Get Hubs接口走用户资源授权校验，只要3LT本身有效、用户对hub有权限就能调通；但hq/v1/路径下的账号级管理接口会额外校验集成应用是否在账号白名单内，漏加白名单时不会返回权限不足，会直接抛令牌无效的AUTH-010错误，这是该场景最高发的诱因。
• 抓包对比接口请求的实际传参
  同时抓取正常应用、出问题生产应用调用Get Projects接口的完整请求，逐项对比：
  • Authorization请求头格式是否正确：是否为Bearer <token>的标准格式，token字符串前后有没有拼接上换行、空格、转义符等不可见字符，有没有出现Bearer拼写错误
  • 生产环境的网关、WAF、反向代理是否在转发过程中改写、截断了Authorization头
  • 代码逻辑是否存在token串值问题：比如是否误把同时间段生成的其他应用/其他作用域的token（比如2LT、其他用户的3LT）传到了该请求里
• 校验令牌实际携带的作用域
  本地解析出问题的3LT的JWT payload，确认实际包含的scope是否覆盖account:read、data:read等调用账号级项目列表需要的权限，不要只核对代码里申请token时传入的scope参数——部分生产环境配置漏写scope参数时，默认生成的token仅带基础的data:read权限，足够支撑Get Hubs调用，但不足以调用账号级接口，会直接返回AUTH-010。
• 交叉验证2LT调用结果
  用出问题应用的Client ID和Client Secret生成带account:read作用域的2LT，直接调用同一个Get Projects接口：
  • 如果2LT调用正常，说明问题出在3LT的scope、请求传参环节
  • 如果2LT也返回AUTH-010，可直接确认是该应用未被加入对应BIM360账号的集成白名单，找账号管理员重新添加自定义集成授权即可
• 核对路径参数准确性
  确认请求路径里的:account_id参数值和正常应用调用时传值完全一致，不要误传成其他格式的hub_id，也不要带前后空格。部分旧版本BIM360接口在account_id传错时不会返回参数错误，会直接抛出AUTH-010。

内容的提问来源于stack exchange，提问作者David