SendGrid调用API添加API密钥scopes返回400未授权错误

• 这是SendGrid的固有安全设计限制：调用API使用的密钥，无法为自身新增自身原本不具备的scope权限，和你是否配置了api_key_update权限、是否给API Keys模块开了全权限无关。
• SendGrid的API密钥权限分配遵循「调用者必须先持有目标scope，才能将该scope分配给任意密钥（包括自身）」的规则。你当前用来发请求的密钥本身没有mail.send权限，自然无法把这个权限授予自己，所以返回unauthorized scopes错误。
• 你观测到的「仅传已有scope、删除部分scope请求成功，新增任何scope都失败」的现象，完全匹配这个限制的表现：自修改密钥时仅支持名称修改、已有scope的删减，不支持新增自身未持有的scope。

你可以任选以下一种方式解决：

• 直接登录SendGrid管理后台，在API Keys管理页找到对应密钥，手动勾选需要新增的权限后保存，后台操作不受API自提权的限制。
• 使用已经持有你要新增的所有scope（比如全局管理员权限）的其他API密钥，调用更新API Key的接口给目标密钥添加mail.send等需要的scope。
• 如果没有可用的高权限密钥，可以先创建一个临时的、包含全量所需权限的管理员密钥，用临时密钥完成目标密钥的scope配置后，删除临时密钥即可。

提示：该限制属于平台底层权限规则，没有可配置的绕过开关，不要反复尝试用密钥给自己提权，不会成功。

内容的提问来源于stack exchange，提问作者sp00n