调用OroCommerce Store REST API始终返回401未授权错误如何解决

问题排查方案 #

• 权限范围（Scope）缺失：你提供的Access Token解码后可看到Payload中scopes字段为空数组，OroCommerce后台管理API调用必须携带admin权限范围。
  调用/oauth-token接口申请令牌时，需在请求参数中新增scope: admin参数，未传该参数时系统默认不会分配任何API访问权限，这是你遇到401错误的核心原因。
• OAuth客户端配置校验：登录OroCommerce后台，进入「系统 > 集成 > 应用管理」，检查你使用的OAuth客户端是否开启了后台API访问权限，同时确认该客户端关联的用户角色拥有对应API接口（如customers查询）的访问权限。
• 请求头格式校验：调用管理API时需确保请求头格式完全正确，示例如下：
  Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9......
  注意Bearer首字母需大写，与令牌内容之间有且仅有一个空格，令牌内容不要包含多余换行、空格字符。
• 身份权限校验：你当前令牌绑定的用户为shekhar，需确认该用户所属的用户组开启了API访问权限，且未被限制访问对应管理接口。
• 时间同步校验：确认发起请求的服务器与OroCommerce部署服务器的系统时间差不超过60秒，时间差过大可能导致令牌被判定为未生效或已过期。

正确请求示例 #

1. 申请带admin权限的令牌

curl -X POST <你的OroCommerce域名>/oauth-token \
  -H "Content-Type: application/json" \
  -d '{
    "grant_type": "password",
    "client_id": "你的客户端ID",
    "client_secret": "你的客户端密钥",
    "username": "后台用户名",
    "password": "后台用户密码",
    "scope": "admin"
}'

2. 调用后台API

curl <你的OroCommerce域名>/admin/api/customers \
  -H "Authorization: Bearer <上一步获取到的access_token>"

内容的提问来源于stack exchange，提问作者Tejas Parmar