通过Okta OAuth2.0自省端点验证令牌时遇404错误求助

问题场景 #

尝试通过OAuth自省端点验证Okta颁发的令牌时，触发Error validating token: Not found.（令牌验证错误：未找到）错误，使用的代码如下：

const introspectionEndpoint = 'https://dev-qbxg70o7bq8w0agx.us.auth0.com/oauth2/default/v1/introspect';

axios.post(introspectionEndpoint, 'accessToken', {
      params: { token: accessTokenString },
      auth: {
        client_id: clinetid,
        client_secret: clientsecret
      }
    })
    .then(response => {
      const data = response.data;
      // 如果令牌有效，进入下一个中间件或路由处理
      if (data.active) {
        req.tokenInfo = data;
        next();
      } else {
        return res.status(401).json({ error: '无效的访问令牌' });
      }
    })
    .catch(error => {
        console.error('令牌验证错误:', error.response?.data || error.message);
        return res.status(500).json({ error: '服务器内部错误' });
      });

错误原因 #

• 端点地址错误：当前使用的是Auth0的自省端点域名，而非Okta的官方端点格式。Okta的自省端点域名应为你的Okta租户域名（如https://dev-123456.okta.com），而非Auth0的us.auth0.com。
• 请求格式不符合规范：OAuth 2.0自省端点要求POST请求的参数以x-www-form-urlencoded格式放在请求体中，而非URL参数；同时代码错误地将字符串'accessToken'作为请求体内容。
• 拼写错误：代码中clinetid应为正确的客户端ID变量名（如clientId）。

修复方案 #

• 修正自省端点地址：Okta的标准自省端点格式为https://{你的Okta租户域名}/oauth2/v1/introspect，替换为你实际的Okta租户域名（可在Okta控制台「API」→「授权服务器」中获取）。
• 调整请求参数格式：使用URLSearchParams构造x-www-form-urlencoded格式的请求体，将token和可选的token_type_hint参数放入其中，而非URL参数。同时移除错误的'accessToken'请求体内容。
• 修正变量拼写错误：将代码中的clinetid改为正确的客户端ID变量名（如clientId），确保该变量已正确赋值为你的Okta应用客户端ID。

修复后的完整代码 #

// 替换为你的Okta租户域名
const introspectionEndpoint = 'https://dev-xxxxxx.okta.com/oauth2/v1/introspect';

axios.post(introspectionEndpoint, new URLSearchParams({
      token: accessTokenString,
      token_type_hint: 'access_token' // 可选，但推荐添加，帮助端点快速定位令牌类型
    }), {
      auth: {
        client_id: clientId, // 修正拼写，确保变量正确赋值
        client_secret: clientSecret
      },
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded' // 显式指定内容类型，axios会自动处理，但显式声明更稳妥
      }
    })
    .then(response => {
      const data = response.data;
      if (data.active) {
        req.tokenInfo = data;
        next();
      } else {
        return res.status(401).json({ error: '无效的访问令牌' });
      }
    })
    .catch(error => {
        console.error('令牌验证错误:', error.response?.data || error.message);
        return res.status(500).json({ error: '服务器内部错误' });
      });

验证要点 #

• 确认Okta租户域名正确（可在Okta控制台的「API」→「授权服务器」中查看）
• 确保客户端ID和客户端Secret属于Okta中已配置的、拥有令牌自省权限的应用
• 验证令牌本身是有效的（未过期、未被吊销）

内容的提问来源于stack exchange，提问作者Rishik Bhimavarapu