Spring Auth Server联邦登录Postman取令牌遇invalid_grant错误

核心问题诊断 #

从报错日志CodeVerifierAuthenticator.throwInvalidGrant和场景对比（浏览器正常、Postman失败）来看，问题集中在授权码模式的回调URL不匹配、PKCE验证失败，同时存在客户端配置混淆的问题：

• 回调URL不匹配：SAS中client-1注册的redirect-uris仅指向Spring Cloud Gateway（8080端口），但Postman使用的是SAS自身的8094端口回调地址，授权码模式要求回调URL必须与客户端注册的完全一致。
• PKCE验证缺失：Postman默认启用PKCE（Proof Key for Code Exchange）流程，但SAS的客户端配置未明确开启PKCE支持，导致验证授权码时失败。
• 客户端ID混淆：SAS中同时存在authorizationserver.client（作为授权服务器的客户端）和oauth2.client（作为对接Google的客户端），两者都使用google作为client-id，容易引发逻辑冲突。

具体修复步骤 #

1. 修正回调URL配置 #

更新SAS的授权服务器客户端配置，添加Postman使用的回调地址：

security:
  oauth2:
    authorizationserver:
      client:
        client-1:
          registration:
            # 保留原Gateway回调，新增Postman回调
            redirect-uris: "http://localhost:8080/login/oauth2/code/google, http://localhost:8094/login/oauth2/code/google"
            # 其他配置不变

2. 启用PKCE支持 #

在SAS的客户端注册中添加PKCE要求，适配Postman的默认行为：

security:
  oauth2:
    authorizationserver:
      client:
        client-1:
          registration:
            # 开启PKCE验证
            require-proof-key: true
            # 其他配置不变

3. 避免客户端ID混淆 #

将授权服务器的客户端ID与对接Google的客户端ID区分开，例如：

security:
  oauth2:
    authorizationserver:
      client:
        client-1:
          registration:
            # 改为专属客户端ID，避免与Google的client-id冲突
            client-id: "postman-gateway-client"
            # 其他配置不变
    client:
      registration:
        google:
          # 这里保留Google提供的client-id
          client-id: POPULATED_GOOGLE_CLIENT_ID
          # 其他配置不变

同时更新Postman的AUTH_CLIENT_ID为新的客户端ID（如postman-gateway-client）。

4. 验证Postman配置 #

确保Postman的授权码模式配置：

• PKCE设置：选择Code Challenge Method为S256（SAS默认支持的算法）
• Scope：与SAS客户端注册的scopes保持一致（openid profile）
• 回调URL：完全匹配SAS中注册的http://localhost:8094/login/oauth2/code/google

SAS vs Keycloak选型建议 #

• Spring Authorization Server（SAS）：适合Spring生态深度集成，轻量且原生支持OAuth2.1/OIDC，若团队熟悉Spring技术栈，可满足统一管理身份提供商的需求，但用户管理、多租户等功能需要自行扩展。
• Keycloak：开箱即用的企业级身份管理平台，内置多租户、角色映射、社交登录集成、用户生命周期管理等功能，适合复杂身份场景，减少自定义开发工作量。

内容的提问来源于stack exchange，提问作者DTS Devel