Spring Boot 3+Reactive WebClient OAuth2客户端凭证认证失败排查

针对你遇到的Spring Boot 3.2.5响应式WebClient无法获取Token、报错org.springframework.security.oauth2.client.ClientAuthorizationException: [invalid_client] Bad credentials的问题，结合Postman可正常运行的情况，从以下几个核心方向排查：

1. 确认凭证传递方式匹配授权服务器要求 #

Postman默认会将clientId和clientSecret通过Basic Auth头编码传递，而Spring OAuth2 Client的默认行为也是如此，但如果你的授权服务器要求通过请求体传递凭证，就会触发错误：

• 若授权服务器仅接受表单参数传递凭证，在配置文件中显式指定客户端认证方式：

spring:
  security:
    oauth2:
      client:
        registration:
          [你的客户端注册ID]:
            client-authentication-method: post

• 禁止手动对clientSecret做Base64编码，配置文件中直接填写原始明文凭证即可——Spring会自动处理Basic Auth的编码逻辑，手动编码会导致凭证重复加密，传递错误内容。

2. 检查WebClient配置与客户端注册的关联 #

确保WebClient的OAuth2拦截器正确绑定了配置文件中定义的客户端注册ID，示例代码如下：

@Bean
public WebClient webClient(ReactiveOAuth2AuthorizedClientManager authorizedClientManager) {
    ServerOAuth2AuthorizedClientExchangeFilterFunction oauth2Filter =
            new ServerOAuth2AuthorizedClientExchangeFilterFunction(authorizedClientManager);
    // 此处ID必须与application.yml中registration下的名称完全一致
    oauth2Filter.setDefaultClientRegistrationId("your-client-registration-id");
    return WebClient.builder()
            .filter(oauth2Filter)
            .build();
}

@Bean
public ReactiveOAuth2AuthorizedClientManager authorizedClientManager(
        ReactiveClientRegistrationRepository clientRegistrationRepository,
        ReactiveOAuth2AuthorizedClientService authorizedClientService) {
    ReactiveOAuth2AuthorizedClientProvider provider =
            ReactiveOAuth2AuthorizedClientProviderBuilder.builder()
                    .clientCredentials()
                    .build();
    AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager manager =
            new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
                    clientRegistrationRepository, authorizedClientService);
    manager.setAuthorizedClientProvider(provider);
    return manager;
}

如果注册ID不匹配，WebClient会找不到对应的凭证配置，最终导致认证失败。

3. 开启日志对比请求差异 #

开启Spring的DEBUG级别日志，查看WebClient发送到授权服务器的请求详情（包括请求头、参数），与Postman的请求做对比，排查是否有缺失的头信息或参数：

logging:
  level:
    org.springframework.security: DEBUG
    org.springframework.web.reactive.function.client: DEBUG

重点检查：

• 是否有代理环境导致请求被篡改
• 请求头中是否包含授权服务器要求的额外字段（如User-Agent）
• 实际传递的clientId/secret是否与Postman一致

4. 确认依赖版本兼容性 #

确保你的项目仅依赖Spring Boot Starter提供的OAuth2客户端依赖，避免版本冲突：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

Spring Boot 3.2.5对应的Spring Security OAuth2版本为6.2.x，手动引入旧版本依赖会引发兼容性问题。

内容的提问来源于stack exchange，提问作者werner.fletcher