Troubleshoot API security erro…

# Stripe 401 invalid_api_key 排查指南

密钥本身没问题但报 401，绝大多数是认证格式和传输方式的问题。按以下顺序排查：

一、认证头格式（最常见原因）

• 推荐用 Bearer 格式，注意大小写和空格：

```

Authorization: Bearer sk_test_xxx

```

• Bearer 后必须有一个空格
• 不要写成 Bearer:sk_xxx 或 bearer sk_xxx（Stripe 对此较宽容，但某些代理会出错）
• 如果直接把密钥当用户名（Basic Auth 方式），格式为：

```

Authorization: Basic base64(sk_test_xxx:)

```

注意冒号后为空，密码部分留空，且必须正确做 Base64 编码。

二、常见翻车点

• 密钥复制带了多余字符：首尾空格、换行符（尤其从配置文件/环境变量读取时）。建议打印前用 trim() 处理。
• 混淆 pk 和 sk：/payment_intents 必须用Secret Key（sk_ 开头），不能用 Publishable Key（pk_ 开头）。
• test/live 模式不匹配：sk_test 密钥调 live 环境域名会 401，确认域名是 api.stripe.com。
• 密钥被 rotate 或 revoke：Dashboard 里 rotate 过的旧密钥立即失效，重新生成一个验证。
• 受限密钥（rk_）权限不足：Restricted Key 没勾选 Charges/PaymentIntents 写权限时，部分场景也返回认证类错误。

三、代理和中间层问题

• 走了 Nginx/网关/公司代理时，Authorization 头可能被剥离或改写，直接 curl 本机测试排除：

```bash

curl https://api.stripe.com/v1/payment_intents \

-u "sk_test_xxx:" \

-d amount=1000 \

-d currency=usd

```

-u 是 Stripe 官方推荐方式，curl 会自动处理编码。如果 curl 成功、代码失败，问题就在你的 HTTP 客户端配置。

• 检查代码里是否重复设置了 Authorization 头（如 SDK 默认头 + 手动头冲突）。

四、快速定位建议

1. 先用 curl -u 方式验证密钥有效性

2. 在代码中打印实际发出的 Authorization 头（脱敏后）

3. 对比两者的差异，基本能锁定问题

如方便，贴出你构造请求头的代码片段（隐去密钥），我可以进一步帮你定位。