遵循文档仍遇Django OAuth Toolkit的invalid_client错误

错误详情 #

• 错误响应：

{"error": "invalid_client"}

• 服务器日志：

Unauthorized: /o/token/ [11/Jan/2024 20:13:37] "POST /o/token/ HTTP/1.1" 401 27

已完成的排查步骤 #

• 重复执行官方文档步骤：从头多次严格遵循文档指引操作
• 验证凭据准确性：反复核对Client ID、Client Secret、用户名及密码，确认无拼写错误
• 检查请求参数：确认cURL命令及请求格式符合服务器要求

环境与请求代码 #

• OAuth服务器/库：Django OAuth Toolkit
• 请求命令：

curl -X POST -d "grant_type=password&username=<user_name>&password=<password>" -u"<client_id>:<client_secret>" http://localhost:8000/o/token/

需解答的问题 #

常见陷阱 #

Django OAuth Toolkit中导致该错误的常见问题包括：

• 客户端类型不匹配：使用password授权类型时，客户端必须设置为confidential类型（而非public）
• Client Secret未正确存储：创建客户端时未保存生成的Secret，或使用了错误的Secret值
• 请求认证方式错误：部分场景下需将Client ID和Secret放在请求体而非Basic Auth中（password授权通常要求客户端为confidential类型，但若配置异常也可能出现兼容问题）
• 客户端状态异常：客户端被标记为inactive（可在Django后台的OAuth应用列表中检查）
• 字符编码问题：Client ID或Secret包含特殊字符，未正确转义导致传输过程中失真

排查建议 #

可采取的额外诊断步骤：

• 后台直接测试：进入Django后台的OAuth应用管理页面，使用内置测试工具发起请求，验证是否能正常获取令牌
• 替换认证方式：尝试将Client ID和Secret放入请求体（即添加client_id=<client_id>&client_secret=<client_secret>到-d参数中），重新发起请求
• 启用详细日志：在Django的settings.py中调高OAuth Toolkit的日志级别，查看更详细的错误追踪信息
• 测试基础认证：用curl单独测试Basic Auth有效性，比如执行curl -u"<client_id>:<client_secret>" http://localhost:8000/o/token/，观察返回错误是否有变化
• 检查请求头：确认请求头包含Content-Type: application/x-www-form-urlencoded，避免因Content-Type不正确导致服务器无法解析参数

服务器端注意事项 #

需要检查的服务器端设置与日志：

• OAuth应用配置：确认客户端的Authorization Grant Type包含Resource owner password-based，客户端类型为Confidential，状态为Active
• Django配置：检查settings.py中的OAUTH2_PROVIDER设置，确保ALLOWED_REDIRECT_URI（若配置）正确，且SCOPES包含必要权限
• 详细请求日志：开启Django DEBUG模式后查看完整请求日志，确认服务器是否正确接收Client ID和Secret，是否存在参数解析错误
• 用户权限设置：确认用于password授权的目标用户状态为Active且未被锁定，创建客户端的用户拥有对应权限

内容的提问来源于stack exchange，提问作者Gaston Needleman