Snowflake OAuth刷新令牌时出现invalid_client错误及文档疑问求助

一、"invalid_client" 错误排查 #

你初始获取令牌时Client ID/Secret有效，但刷新时报错，优先检查以下几点：

• Client ID/Secret的Basic编码问题：
  Snowflake要求客户端凭证需以ClientID:ClientSecret拼接后做Base64编码，作为Basic认证头。curl的--user参数会自动处理编码，但需注意：

  • 确认Client ID和Secret之间的冒号:无多余或缺失
  • 检查凭证中的特殊字符（如+、=）是否被误修改，可尝试手动编码后替换--user，改用-H "Authorization: Basic [Base64编码后的字符串]"发起请求

• redirect_uri严格一致：
  刷新时传入的redirect_uri必须与初始获取令牌时的参数完全匹配，包括大小写、末尾斜杠、协议等细节。比如初始用https://localhost.com/，刷新就不能写成https://localhost.com

• 客户端权限配置：
  登录Snowflake控制台，检查自定义OAuth客户端的配置：

  • 是否开启ALLOW_REFRESH_TOKEN权限
  • REDIRECT_URI_LIST中是否包含当前使用的redirect_uri

二、关于refresh token版本（ver:2）的说明 #

• 刷新令牌流程不需要传入过期的access token，仅需指定grant_type=refresh_token并传入有效的refresh token即可
• 你拿到的ver:2格式是Snowflake较新的refresh token版本，文档中的ver:1属于旧版示例，是文档滞后导致的差异，直接使用返回的refresh token即可，无需修改格式

额外排查建议 #

1. 对比初始获取令牌和刷新请求的抓包内容，重点核对Authorization头和redirect_uri参数的一致性
2. 执行Snowflake内置函数SYSTEM$GET_OAUTH_CLIENT_SECRETS('<你的客户端名称>')，验证客户端配置是否正确
3. 简化curl命令，去掉不必要的参数，逐步排查语法或参数错误

内容的提问来源于stack exchange，提问作者dbrree