OneLogin OAuth2 token接口返回401 Unauthorized故障排查问询

故障描述 #

长期稳定运行的脚本突发运行失败，返回报错：

401 Client Error: Unauthorized for url: https://api.us.onelogin.com/auth/oauth2/v2/tokenth2/v2/token
当日上午脚本两次运行均无异常，无代码、配置前置变更操作。

已确认基础信息 #

• 代码：当日正常运行的代码未做任何变更
• 账号凭证：手动登录验证凭证可正常使用

已执行排查操作 #

• 测试同授权逻辑的历史可用版本代码，运行失败
• 重启设备，未解决问题
• 切换VPN网络（此前运行无需VPN），未解决问题
• 调整OneLogin安全验证因子：原验证因子为OneLogin Protect，先后更换为新OneLogin安全因子、Google Auth，再换回OneLogin验证因子，每次均移除原有因子，均验证失败
• 等待数小时等待配置变更同步完成，问题仍未解决

遗漏排查方向建议 #

• 校验请求URL正确性：报错中的URL存在tokenth2/v2/token重复拼接异常，优先排查代码中接口地址是否存在硬编码拼写错误、动态拼接逻辑变量重复替换问题，同时排查环境变量、外部配置文件中存储的接口地址是否被意外修改覆盖
• 核实API客户端权限：OneLogin网页登录权限和API访问权限为两套独立控制逻辑，登录正常不代表OAuth2客户端权限有效，需到OneLogin后台核对对应客户端ID、客户端密钥的授权范围是否被调整，是否被添加了IP访问限制，是否触发了权限回收规则
• 检查请求头合规性：OneLogin OAuth2令牌接口要求授权头格式为Authorization: Basic <base64(client_id:client_secret)>，排查本地base64编码逻辑是否存在特殊字符转义异常，请求头Content-Type是否正确设置为application/x-www-form-urlencoded
• 查看API访问日志：到OneLogin后台安全事件中心、API访问日志板块查询对应401请求的具体拦截原因，确认是否触发了短时间高频请求限流、异常访问行为拦截等安全策略
• 验证本地时间同步状态：OAuth2身份校验依赖客户端与服务端时间匹配，若本地设备时间与标准时间偏移超过5分钟，会导致身份校验失败，需检查本地时间同步服务是否正常运行

内容的提问来源于stack exchange，提问作者user16940009