获取OAuth2令牌时遇客户端未认证错误求助

问题分析 #

你遇到的InsufficientAuthenticationException错误，核心原因是调用/oauth/token接口换取Token时，客户端身份凭证未被正确识别或传递。虽然配置了allowFormAuthenticationForClients允许表单方式传递客户端信息，但存在请求参数错误或配置遗漏。

解决方案 #

1. 修正Postman的Token请求参数 #

调用/oauth/token必须满足以下要求：

• 请求方法：POST（推荐，GET也支持但安全性较差）
• 请求地址：http://localhost:8080/oauth/token
• 参数提交方式：使用x-www-form-urlencoded表单格式，必填参数包括：
  • grant_type: authorization_code（固定值，指定授权类型）
  • code: 从/oauth/authorize接口获取到的授权码
  • redirect_uri: http://localhost:8080/callback（必须和授权请求中的redirect_uri完全一致）
  • client_id: a（你的客户端ID）
  • client_secret: qwe（客户端密钥，明文传递即可，框架会自动匹配加密后的值）

也可使用HTTP Basic认证方式传递客户端凭证：

• 将client_id:client_secret（即a:qwe）进行Base64编码，得到YTpxd2U=
• 在请求头中添加：Authorization: Basic YTpxd2U=

2. 补充配置缺失的AuthenticationManager #

授权码模式需要AuthenticationManager验证用户身份，你的配置中缺少该Bean的注入：

修改WebSecurityConfig

添加authenticationManagerBean的暴露：

@Configuration
@EnableWebSecurity
@Order(-1)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    // 暴露AuthenticationManager Bean供授权服务器使用
    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/oauth/**","/login/**","/auth/get-token").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin().permitAll()
                .and()
                .logout().permitAll()
                .and()
                .csrf().disable();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
       auth.inMemoryAuthentication()
               .withUser("user").password(passwordEncoder().encode("user")).roles("USER")
               .and().withUser("admin").password(passwordEncoder().encode("admin")).roles("ADMIN");
    }
}

修改AuthServerConfig

注入并配置AuthenticationManager：

@EnableAuthorizationServer
@Configuration
public class AuthServerConfig extends AuthorizationServerConfigurerAdapter {

   @Autowired
   private PasswordEncoder passwordEncoder;
   
   // 注入AuthenticationManager
   @Autowired
   private AuthenticationManager authenticationManager;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients
                    .inMemory()
                    .withClient("a")
                    .secret(passwordEncoder.encode("qwe"))
                    .authorizedGrantTypes("authorization_code")
                    .scopes("email","profile","openid").autoApprove(true)
                    .redirectUris("http://localhost:8080/callback");
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
                .tokenStore(new InMemoryTokenStore())
                .authenticationManager(authenticationManager) // 配置AuthenticationManager
                .allowedTokenEndpointRequestMethods(HttpMethod.GET, HttpMethod.POST);
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security
                .tokenKeyAccess("permitAll()")
                .checkTokenAccess("isAuthenticated()")
                .allowFormAuthenticationForClients();
    }
}

3. 排查常见细节问题 #

• redirect_uri一致性：授权请求和Token请求中的redirect_uri必须完全匹配，包括域名、端口、路径的大小写和结尾斜杠。
• 客户端密钥匹配：确保client_secret的明文值和配置中加密前的qwe一致，框架会自动用PasswordEncoder验证。
• 请求权限：WebSecurityConfig中已允许/oauth/**路径的匿名访问，无需额外调整。

内容的提问来源于stack exchange，提问作者jason li