企业微信机器人发送消息返回 40003 无效 token 怎么解决

企业微信 API 返回 40003 错误码代表 secret 参数错误，通常发生在获取 access_token 阶段而非直接发送消息阶段。请检查自建应用的 Secret 配置是否正确，避免直接使用缓存的 token 或混淆了 Webhook 密钥。

先说结论：40003 错误表明调用接口时使用的 Secret 无效，需在企业微信管理后台重新查看或重置 Secret 并更新代码配置。

命令速用版

使用 curl 命令快速测试 Secret 是否能正确获取 access_token，替换以下参数中的实际值。

curl "https://qyapi.weixin.qq.com/cgi-bin/gettoken?corpid=YOUR_CORPID&corpsecret=YOUR_SECRET"

如果返回包含"errcode":0 和"access_token"，说明 Secret 有效；如果返回"errcode":40003，说明 Secret 错误。

40003 错误本质是身份凭证 Secret 不匹配，而非消息发送权限问题。企业微信接口调用分为两步：先用 Secret 换取 access_token，再用 token 发送消息。官方全局错误码定义中，40003 明确对应"invalid secret"，即换取 token 时提供的密钥错误。

开发过程中容易出现以下混淆：将 Webhook 机器人的 URL 密钥与自建应用的 Secret 混用，或在后台重置 Secret 后未同步更新代码配置。发送消息接口本身若 token 无效通常返回 40014，但若底层获取 token 步骤失败，上层发送逻辑也会报错。

按照以下顺序排查配置，确保每一步操作后可回溯。

1. 登录管理后台确认应用信息
进入企业微信管理后台，找到"应用管理"，点击对应的自建应用。记录页面上显示的"企业 ID"（CorpID）和"Secret"。

2. 检查代码配置
核对代码配置文件或环境变量中的 CorpID 和 Secret 是否与后台完全一致，注意不要复制多余的空格或换行符。

3. 重置 Secret（如确认不一致）
在应用详情页面点击"重置 Secret"，系统会生成新的密钥。旧 Secret 会立即失效，需确保所有使用该 Secret 的服务同步更新。

4. 更新服务器配置
将新 Secret 部署到服务器，重启相关服务进程，确保内存中缓存的旧配置被清除。

执行上述 curl 命令测试接口响应。成功时 JSON 响应中包含"errcode":0；失败时会返回具体错误码。

查看应用日志，确认获取 token 的请求不再返回 40003。随后尝试发送一条测试消息到指定用户或群聊，确认业务链路畅通。

1. IP 白名单限制
部分接口要求调用 IP 在企业微信后台配置的白名单内，即使 Secret 正确，IP 不符也可能导致调用失败，需检查"可信 IP"设置。

2. Token 缓存失效
access_token 有有效期（通常 2 小时），代码中应实现自动刷新机制。不要将 token 硬编码，避免 Secret 重置后 token 仍旧无效。

3. 混淆机器人类型
群聊 Webhook 机器人使用 URL 中的 key 参数，自建应用使用 Secret 换取 token。两者不可混用，Webhook 报错通常不返回 40003。

40003 表示 Secret 错误，发生在获取 token 阶段；40014 表示 access_token 无效，发生在调用业务接口阶段。

会影响。重置后旧 Secret 立即失效，依赖旧 Secret 获取 token 的服务会无法调用接口，需尽快更新配置。

通常不是。Webhook 机器人 URL 密钥错误通常返回 HTTP 400 或特定 JSON 错误，40003 主要针对自建应用 API 的 Secret 验证。

企业微信官方文档 - 全局错误码
URL: https://work.weixin.qq.com/api/doc/90000/90135/90236