自托管Zitadel：非本地IP调用Go API出现授权失败问题

核心原因 #

这个问题不是CORS导致的（curl不受浏览器CORS规则限制），错误token introspection failed: http status not ok: 400 Bad Request {"error":"unauthorized_client"}说明你的Go后端服务在向Zitadel发起令牌 introspection（令牌验证）请求时，Zitadel拒绝了服务的身份认证。

解决步骤 #

1. 确认服务账户的权限配置 #

登录Zitadel控制台，找到对应代码中key.json的服务账户：

• 进入该服务账户的权限页面，添加urn:zitadel:iam:org:project:role:zitadel-introspect权限（用于允许令牌验证操作）。
• 确保该服务账户已关联到你的API项目中。

2. 检查后端代码的Issuer配置 #

代码中domain设置为192.168.41.151，需确保：

• Zitadel实例的实际访问地址与该domain一致（包括端口，默认Zitadel端口为8080）。
• 初始化Zitadel认证客户端时，Issuer URL正确拼接为http://${domain}:8080（若使用自定义端口，替换为对应端口）。

3. 验证服务账户的客户端认证有效性 #

手动测试令牌 introspection，确认Zitadel是否接受你的服务账户认证：

1. 从key.json中提取client_id字段值。
2. 使用服务账户的密钥生成客户端断言（JWT），用于introspect请求的身份认证。
3. 执行以下curl命令（替换占位符）：

   curl -X POST http://192.168.41.151:8080/oauth/v2/introspect \
     -H "Content-Type: application/x-www-form-urlencoded" \
     -d "token=<你的Bearer令牌>" \
     -d "client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer" \
     -d "client_assertion=<生成的JWT断言>"
   

   若仍返回unauthorized_client，说明服务账户的JWT断言签名无效，或Zitadel未正确识别该客户端ID。

4. 配置Zitadel CORS（后续浏览器访问需用） #

虽然当前curl请求不受CORS限制，但如果后续需要浏览器访问该API，需在Zitadel控制台配置：

• 进入你的项目 → API → CORS，添加允许的来源（例如http://192.168.41.151:8090）。

内容的提问来源于stack exchange，提问作者Patrick Visi