Postman调用Digikala卖家API提示Invalid Token无效报错如何排查

1. Token本身无效的判定逻辑 #

JWT校验工具提示签名无效无法直接判定平台发放的Token本身有问题：JWT的签名校验必须填入服务端用于签名的公钥/私钥才能完成，未填入对应密钥时默认都会返回签名无效的结果，仅能作为参考。
排除复制错误的前提下，Token本身无效的可能性确实存在，但需要结合其他校验方式确认。

2. Token有效性校验方法 #

• 校验Token格式：标准JWT为三段用.分隔的Base64编码字符串，确认你拿到的Token没有缺段、没有多余的空格、换行或特殊字符
• 校验Token有效期：解析JWT的payload段，查看exp（过期时间）字段，转换为对应时区时间后确认是否已过期，过期Token会直接返回401
• 校验Token权限范围：解析JWT的payload段，查看scope、aud等权限相关字段，确认包含目标接口https://seller.digikala.com/api/v1/profile/的访问权限
• 确认Token绑定规则：部分平台会将Token和获取时的客户端IP、User-Agent、登录态绑定，账号登出、IP变更都会导致未过期的Token直接作废

3. 正确调用接口的操作步骤 #

• 重新走Token获取流程：严格按照平台官方文档要求调用获取Token的接口，确认接口返回状态为200，完整复制返回的Token字段，不要遗漏任何字符
• 调整Postman配置：选择Bearer Token授权类型后，直接粘贴Token即可，不需要手动在请求头再加Authorization字段，Postman会自动生成格式为Authorization: Bearer <你的Token>的请求头，避免重复添加导致格式错误
• 优化请求头配置：GET请求无需设置Content-Type: application/json，可先删除该请求头后重试，部分服务端对GET请求的Content-Type校验严格，多余的配置会导致请求被拦截
• 对齐请求环境：确保Postman请求的IP、User-Agent和你获取Token时的请求环境一致，避免跨环境调用被服务端安全策略拦截
• 以上操作都无效果时，联系平台商家支持，提供你获取Token的请求日志和调用接口的报错日志，确认是否是平台侧Token发放异常

内容的提问来源于stack exchange，提问作者Pouya Vaghefi