Python GRPC报错Failed to pick subchannel连接失败问题排查

1. 代码参数匹配错误（首要问题） #

你定义的create_connection函数接收target、access_token两个入参，但实际调用时传入的是svc="myservice"、session=Session(...)两个不匹配的参数，同时调用代码末尾缺少右括号，导致：

• target参数未拿到有效值，仅依赖DEFAULT_ENDPOINT常量，若该常量未定义/值错误，自然无法解析服务端地址
• access_token参数未拿到有效值，鉴权信息缺失

修正后的调用示例：

# 先确认服务端地址、获取有效access_token
target = "your-grpc-service-host:port"
access_token = "your_valid_access_token"
conn = create_connection(target, access_token)

2. 基础网络连通性排查 #

先跳过GRPC逻辑，直接验证网络可达性：

• 用telnet 服务端地址 端口或nc -zv 服务端地址 端口测试端口是否开放，不通的话先排查防火墙、安全组、内网连通性、服务端是否正常启动监听对应端口
• 若走代理，添加服务端地址到no_proxy环境变量，GRPC默认走HTTP代理，若代理不支持HTTP2会导致连接失败

3. TLS握手问题排查 #

你手动拉取服务端证书的逻辑没问题，仍失败可按以下步骤排查：

• 确认服务端证书的SAN字段包含你访问的host，若用IP访问服务端，证书未配置IP SAN会导致握手失败
• 开启GRPC调试日志查看具体错误：运行脚本前设置环境变量GRPC_VERBOSITY=DEBUG、GRPC_TRACE=tsi,ssl，即可看到TLS握手阶段的具体报错

4. 鉴权逻辑排查 #

确认你的access_token符合服务端要求：

• 若服务端要求Authorization头的格式为Bearer <token>，access_token_call_credentials会自动添加Bearer前缀，直接传入纯token即可；若服务端要求其他前缀，需要自定义元数据拦截器注入header，不能用内置的access_token_call_credentials
• 确认token未过期、权限范围符合要求

内容的提问来源于stack exchange，提问作者Woody1193