403错误源于服务器拒绝请求，需依次检查CORS配置、Bearer Token有效性、API网关JWT插件及后端JWK缓存：1.确认Access-Control-Allow-Origin匹配Origin；2.用jwt.io校验Token的exp/iss/scope；3.检查网关是否启用JWT插件并正确配置公钥与claims_to_verify；4.调用/auth/refresh-jwk刷新公钥缓存。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在WorkBuddy部署完成后调用后端API时收到403 Forbidden响应，该错误表明服务器已识别请求但明确拒绝执行，常见于跨域策略拦截或鉴权Token校验失败。以下是定位与修复该问题的具体操作步骤：
一、检查CORS响应头是否允许当前Origin
WorkBuddy前端（如localhost:3000或生产域名）发起的请求若被服务端CORS策略拒绝，浏览器将直接阻断并触发403，而非预检失败的404或502。服务端必须在响应头中显式声明Access-Control-Allow-Origin且值匹配请求来源。
1、在浏览器开发者工具Network标签页中，找到返回403的API请求，点击进入详情页。
2、切换至Headers子面板，在Response Headers区域查找Access-Control-Allow-Origin字段。
3、确认其值为具体域名（如https://workbuddy.example.com）或通配符*；若缺失该字段，或值为null、空字符串、不匹配当前页面协议+域名+端口，则判定CORS配置失效。
4、若使用Nginx反向代理，检查location块中是否遗漏add_header Access-Control-Allow-Origin "https://workbuddy.example.com";指令；若值设为*，需同步移除Access-Control-Allow-Credentials: true，否则浏览器拒绝携带Cookie。
二、验证Bearer Token有效性与作用域范围
WorkBuddy API默认要求Authorization头携带JWT格式Bearer Token，服务端会校验签名、过期时间、issuer及scope字段。任意一项不满足即返回403，且不提示具体原因以避免信息泄露。
1、从WorkBuddy客户端导出当前使用的Token：打开设置→安全→API凭证→点击「复制Token」按钮。
2、访问https://jwt.io，在左侧输入框粘贴Token，观察右侧Payload区的exp（过期时间戳）、iss（签发者）、scope（权限范围）三项是否有效。
3、确认scope字段包含当前调用接口所需的最小权限标识，例如调用模型推理接口需包含model:invoke，调用技能管理接口需包含skill:admin。
4、若scope缺失对应条目，需重新生成Token：返回WorkBuddy控制台→API密钥管理→编辑对应密钥→勾选所需权限项→保存后生成新Token并替换客户端配置。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
三、核查API网关路由层的鉴权中间件启用状态
部分部署环境在API网关（如Kong、Apigateway）启用了独立的JWT鉴权插件，该插件优先于后端服务逻辑执行校验。若插件配置错误或未启用，会导致所有请求被统一拦截并返回403。
1、登录API网关管理后台，定位到WorkBuddy服务对应的路由规则（Route）。
2、检查该Route是否绑定名为jwt-auth、auth-jwt或类似名称的插件；若未绑定，点击「绑定插件」并选择对应JWT鉴权类型。
3、进入插件配置页，确认public_key字段已填入WorkBuddy签发Token所用的RSA公钥PEM内容（以-----BEGIN PUBLIC KEY-----开头）。
4、检查config.claims_to_verify字段是否包含exp,iss,scope；若缺少scope，则即使Token含权限字段，插件仍视为校验通过，导致越权风险——此时应补充该字段并重启插件实例。
四、排查后端服务本地鉴权缓存污染
WorkBuddy后端服务在首次加载Token公钥后会缓存解析结果，若公钥更新而缓存未刷新，旧Token可能因签名验证失败被拒，表现为403而非401。
1、登录WorkBuddy部署服务器，进入服务运行目录，执行命令curl -X POST http://127.0.0.1:8080/api/v1/auth/refresh-jwk -H "Authorization: Bearer
2、若返回200 OK且响应体含"jwk_refreshed": true，则说明公钥缓存已强制更新。
3、若返回403，表示该admin-token本身无效，需改用部署时生成的root密钥（通常位于.env文件中的ROOT_API_KEY）重试。
4、执行完毕后，等待服务日志输出"JWK cache reloaded from remote endpoint"字样，再重新发起原API请求验证。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
