使用RestTemplate请求Auth0获取JWT Token返回401未授权问题排查

问题根源 #

你代码里的核心错误是：设置了Content-Type: application/json请求头，但请求体使用的是MultiValueMap。

Auth0的/oauth/token接口（client_credentials模式）默认接收application/x-www-form-urlencoded格式的表单参数，你强行指定JSON头后，RestTemplate发送的请求体格式和接口要求不匹配，导致Auth0无法正确解析client_id、client_secret等参数，因此返回401。而Postman能成功，是因为你在Postman中用的是表单提交格式，和接口要求一致。

修复方案 #

方案1：使用表单格式提交（推荐，符合Auth0接口规范） #

去掉手动设置的JSON头，或者明确设置为表单格式，MultiValueMap会被RestTemplate自动序列化为表单请求体：

@GetMapping("/login")
public String login(){
    HttpHeaders headers = new HttpHeaders();
    headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);
    
    MultiValueMap<String, String> map= new LinkedMultiValueMap<>();
    map.add("client_id", "xoy6LAdnT1wNyo1SijmhZLACrwAgdfyv");
    map.add("client_secret","o6FWAhS3crc0Vu9ueTpKDBCWWdUelrQAkbIGdsocyqiwfgwS6x6XeyZ5iLQYo1X3");
    map.add("audience","https://contacts-api.com");
    map.add("grant_type","client_credentials");
    
    HttpEntity<MultiValueMap<String, String>> request = new HttpEntity<>(map, headers);
    ResponseEntity<String> response = restTemplate.exchange(
            "https://dev-giudnqk2.us.auth0.com/oauth/token",  HttpMethod.POST, request , String.class);
    return response.getBody().toString();
}

方案2：用JSON格式提交（需Auth0配置支持） #

如果一定要用JSON格式，需确保Auth0应用配置允许JSON请求，同时将参数转为JSON字符串作为请求体：

@GetMapping("/login")
public String login() throws JsonProcessingException {
    HttpHeaders headers = new HttpHeaders();
    headers.setContentType(MediaType.APPLICATION_JSON);
    
    Map<String, String> params = new HashMap<>();
    params.put("client_id", "xoy6LAdnT1wNyo1SijmhZLACrwAgdfyv");
    params.put("client_secret","o6FWAhS3crc0Vu9ueTpKDBCWWdUelrQAkbIGdsocyqiwfgwS6x6XeyZ5iLQYo1X3");
    params.put("audience","https://contacts-api.com");
    params.put("grant_type","client_credentials");
    
    ObjectMapper objectMapper = new ObjectMapper();
    String jsonBody = objectMapper.writeValueAsString(params);
    
    HttpEntity<String> request = new HttpEntity<>(jsonBody, headers);
    ResponseEntity<String> response = restTemplate.exchange(
            "https://dev-giudnqk2.us.auth0.com/oauth/token",  HttpMethod.POST, request , String.class);
    return response.getBody().toString();
}

额外建议 #

• 不要将client_secret硬编码在代码中，建议存入环境变量或Spring配置文件（如application.yml），避免敏感信息泄露。
• 可以添加日志打印完整请求信息（包括请求头和请求体），方便快速排查类似格式不匹配问题。

内容的提问来源于stack exchange，提问作者Shivam...