Spring OAuth2 Client集成PKCE请求/token端点时无效客户端错误排查

核心问题定位 #

报错[invalid_client] FBTOAU229E Confidential clients accessing the token endpoint must authenticate using their registered credentials明确说明：你的**机密类型客户端（Confidential Client）**在请求token端点时，未携带IDP要求的客户端凭证认证信息。PKCE主要用于公共客户端（如纯前端应用），但机密客户端启用PKCE后，依然需要同时提供注册的客户端凭证（client_id + client_secret），二者并不冲突。

具体排查与修复步骤 #

1. 确认客户端凭证配置正确性 #

检查application.yml/application.properties中的客户端配置，确保client-secret已正确配置，且与IDP注册的凭证一致：

spring:
  security:
    oauth2:
      client:
        registration:
          your-idp-key:
            client-id: YOUR_CLIENT_ID
            client-secret: YOUR_CLIENT_SECRET
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/your-idp-key"
        provider:
          your-idp-key:
            authorization-uri: https://your-idp-domain/oauth2/authorize
            token-uri: https://your-idp-domain/oauth2/token
            # 其他IDP配置（user-info-uri等）

2. 匹配IDP要求的客户端认证方式 #

IDP对机密客户端的token请求认证方式通常有两种，需配置Spring OAuth2客户端匹配：

• HTTP Basic认证（默认）：Spring会自动将client_id:client_secret做Base64编码后放在Authorization请求头中。若IDP要求此方式，无需额外配置。
• 表单参数传递：若IDP要求将client_secret作为POST参数提交，需添加client-authentication-method: post配置：

  spring:
    security:
      oauth2:
        client:
          registration:
            your-idp-key:
              client-authentication-method: post
  

3. 检查PKCE配置是否覆盖凭证传递 #

确保你的DefaultServerOAuth2AuthorizationRequestResolver配置仅启用PKCE，未破坏原有客户端凭证逻辑：

@Bean
public DefaultServerOAuth2AuthorizationRequestResolver authorizationRequestResolver(ServerOAuth2ClientProperties clientProperties) {
    DefaultServerOAuth2AuthorizationRequestResolver resolver =
            new DefaultServerOAuth2AuthorizationRequestResolver(
                    clientProperties, "/oauth2/authorization/{registrationId}");
    // 仅添加PKCE自定义逻辑，不修改客户端认证相关配置
    resolver.setAuthorizationRequestCustomizer(customizer -> customizer.withPkce());
    return resolver;
}

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http,
                                                    DefaultServerOAuth2AuthorizationRequestResolver resolver) {
    return http
            .authorizeExchange(ex -> ex.anyExchange().authenticated())
            .oauth2Login(oauth2 -> oauth2.authorizationRequestResolver(resolver))
            .build();
}

4. 调试token请求实际内容 #

若上述配置后仍报错，开启Spring Security调试日志，查看token请求的完整headers和参数：

logging:
  level:
    org.springframework.security: DEBUG
    org.springframework.web: DEBUG

通过日志确认：

• 是否存在Authorization: Basic xxxxx头（或client_secret请求参数）
• 参数code_verifier、code、redirect_uri等是否与授权请求匹配

5. 验证IDP端配置 #

确认IDP后台你的客户端配置：

• 客户端类型为「机密客户端」
• 允许同时使用PKCE和客户端凭证认证
• 已正确配置回调地址redirect_uri

内容的提问来源于stack exchange，提问作者Nicolò Frongia