HTTP 401错误表明通义万象API鉴权失败，需依次排查：一、确认DashScope控制台生成的64位API Key状态为启用且无空格/不可见字符；二、Authorization头必须严格为“Bearer {key}”格式，大小写与空格不可错；三、密钥环境（中国站/国际站）须与请求域名（dashscope.aliyuncs.com/dashscope-intl.aliyuncs.com）一致；四、RAM中该密钥须绑定AliyunTongyiWanxiangFullAccess权限；五、关闭代理或用curl直连排除中间件篡改请求头可能。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您调用通义万象（Tongyi Wanxiang）API时收到 HTTP 401 错误响应，表明服务端在鉴权环节明确拒绝了当前请求。该错误并非网络连通性问题，而是服务器识别到请求中缺少有效认证凭证，或提供的凭证未通过阿里云 IAM 与通义万象双重校验链。以下是多种独立、可验证的排查与修复步骤：
一、确认 API Key 是否正确获取并处于启用状态
该步骤用于验证密钥来源的真实性与可用性。通义万象 API Key 必须通过阿里云 DashScope 控制台生成，且状态必须为“启用”，任何被禁用、轮换或未激活的密钥均无法通过鉴权。
1、登录DashScope 控制台，进入「API 密钥管理」页面。
2、查找与通义万象服务关联的密钥，确认其「状态」列显示为启用，而非“已禁用”或“已过期”。
3、点击对应密钥右侧的「复制」按钮，确保完整复制全部字符（长度应为64位十六进制字符串），不包含前后空格、换行符、引号或中文标点。
4、将密钥粘贴至 VS Code 或 Notepad++ 等支持显示不可见字符的编辑器中，开启「显示所有字符」功能，检查是否存在\r\n、全角空格、零宽空格（U+200B）或 BOM 头。
二、严格校验 Authorization 请求头格式与注入方式
通义万象服务端对 Authorization 字段执行精确字符串匹配，仅接受形如Bearer 的原始格式。任何格式偏差（如大小写错误、空格缺失、前导/尾随空白、类型混淆）均直接触发 401。
1、确保请求头字段名严格为Authorization（首字母大写，其余小写），不可写作 authorization、AUTHORIZATION 或 X-Authorization。
2、字段值必须为字符串拼接结果：f"Bearer {api_key}"，其中{api_key}为未经 base64 编码、URL 编码或 JSON 序列化的原始密钥变量。
3、禁止以下任一写法："Bearer" + api_key（缺空格）、"bearer " + api_key（小写 bearer）、"Basic " + base64.b64encode(...)（错误认证类型）。
4、在代码中添加调试日志，打印完整 headers 字典，确认 Authorization 字段输出为单行纯文本，且无换行、无缩进、无额外空格。
三、核对请求域名与密钥所属环境是否一致
通义万象 API 实行物理隔离的多环境鉴权机制。密钥与调用端点必须严格配对：DashScope 国际站（dashscope.aliyuncs.com）密钥仅适用于国际版 API；阿里云中国站（dashscope.aliyuncs.com）密钥仅适用于国内版 API。混用将导致鉴权链断裂。
1、确认当前使用的 API Key 是在https://www.php.cn/link/07cb5b5337dc005c70dc51527a70162a（中国站）还是https://dashscope-intl.console.aliyun.com/（国际站）生成。
2、检查实际请求 URL 的 Host 部分：国内环境必须使用https://dashscope.aliyuncs.com/api/v1/services/aigc/text-to-image/generation；国际环境必须使用https://dashscope-intl.aliyuncs.com/api/v1/services/aigc/text-to-image/generation。
3、若使用 SDK（如 dashscope Python 包），检查初始化时是否显式指定 region_id 参数：dashscope.api_key = "sk-xxx"; dashscope.base_url = "https://dashscope.aliyuncs.com"。
四、验证密钥是否具备通义万象服务调用权限
即使密钥本身有效，若未在阿里云 RAM 中为其授予通义万象（tongyi-wanxiang）对应的服务角色与操作权限，也会在鉴权第二阶段失败并返回 401。
1、登录RAM 访问控制控制台，进入「用户」→「权限策略」页面。
2、查找与该 API Key 关联的 RAM 用户，点击其名称进入详情页，查看「授权策略」列表中是否包含AliyunTongyiWanxiangFullAccess或自定义策略中明确声明"Action": ["tongyi-wanxiang:GenerateImage"]。
3、若权限缺失，立即附加该系统策略，或创建最小权限策略并绑定。
4、等待策略生效（通常秒级），重新发起请求验证。
五、排除代理或网关中间件篡改请求头的可能性
部分企业级代理、HTTPS 解密网关或本地开发代理（如 Charles、Fiddler、Clash）可能因安全策略自动剥离、重写或污染 Authorization 头字段，导致服务端接收到的凭证为空或非法。
1、临时关闭所有本地代理软件，使用 curl 直连验证：
curl -X POST "https://dashscope.aliyuncs.com/api/v1/services/aigc/text-to-image/generation" \
-H "Authorization: Bearer sk-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" \
-H "Content-Type: application/json" \
-d '{"model":"wanx-v1","input":{"prompt":"一只橘猫坐在窗台上"},"parameters":{"size":"1024*1024"}}'
2、若 curl 成功而应用内调用失败，则高度怀疑代理干扰。需在代理配置中将 dashscope.aliyuncs.com 加入白名单或禁用 header 修改规则。
3、检查代码中是否启用了全局 HTTP 客户端拦截器（如 axios.interceptors.request），确认其未意外覆盖或清空 Authorization 字段。
