API鉴权失败需要区分身份无效、权限不足和签名错误。直接把接口设为公开，可能掩盖问题并造成数据泄露。
检查请求信息
核对令牌有效期、请求时间、签名字段和环境，日志不输出完整秘密。
检查资源权限
有效登录也可能无权访问目标对象，按资源核实角色与范围。
验证客户端处理
令牌刷新与重试有上限，禁止无限循环。错误响应保持适当信息，不泄露内部校验细节。
鉴权失败从凭据与时间检查
确认签名、权限范围、有效期和服务端时间，区分401、403及业务拒绝。
调试只记录脱敏信息，不能把token贴进公开日志；修复后测试合法与非法请求。
例如凭据有效但角色没有该接口权限，属于授权拒绝，不应为消除错误直接授予全部权限。
相关阅读：网站与小程序API：鉴权、对象授权和限流。