Appwrite前端生成JWT无法访问文档 提示缺失collections.read权限

开发时出现无法使用前端用户登录生成的JWT向后端发起文档访问请求的故障：即使目标集合的访问权限已设置为role:all，后端仍返回如下错误响应：

{
    "statusCode": 500,
    "code": "401",
    "error": "Internal Server Error",
    "message": "<User> (role: member) missing scope (collections.read)"
}

• 技术栈：服务端使用Appwrite Node SDK，前端使用Appwrite Web SDK
• 部署方式：所有服务均基于Docker容器运行
• 前端登录生成JWT的现有代码如下：

import { Appwrite } from "appwrite";

export const login = async (email, password) => {
    const api = new Appwrite();
    api.setEndpoint(import.meta.env.VITE_APPWRITE_URL);
    api.setProject(import.meta.env.VITE_APPWRITE_PROJECT);
    await api.account.createSession(email, password);
    const user = await api.account.get();
    const jwt = await api.account.createJWT();
    return {
        jwt: jwt.jwt,
        user: {
            id: user.$id,
            email: user.email,
            name: user.name
        },
    }
}

故障核心原因是调用createJWT方法时未指定令牌需要携带的权限范围（scope）。Appwrite默认生成的用户JWT仅包含基础的账户信息读取权限，不会默认携带集合、文档、存储等资源的读写权限，即便集合本身配置了公开访问规则，缺少对应scope的令牌依然会被鉴权拦截。

修复步骤如下：

1. 修改前端createJWT的调用逻辑，根据业务需要传入对应的权限scope列表，例如需要读取集合、文档资源时，代码修改为：

// 根据实际业务需要添加对应scope，写操作追加collections.write、documents.write即可
const jwt = await api.account.createJWT([
  'collections.read',
  'documents.read'
])

2. 校验后端Node SDK的鉴权配置：使用用户JWT发起请求时，需要调用SDK实例的setJWT(前端传入的jwt字符串)方法配置身份，不要混用服务端API Key发起用户侧请求。
3. Docker部署场景下的缓存处理：如果代码修改后仍报相同错误，执行以下命令重启Appwrite相关容器刷新权限缓存即可：

docker compose restart appwrite appwrite-worker-*

内容的提问来源于stack exchange，提问作者Carlos Silva