如何在MuleSoft HTTP请求连接器中使用密码凭证授权类型？

MuleSoft HTTP连接器自带的OAuth2配置确实只支持授权码和客户端凭证这两种类型，要用上密码凭证（Resource Owner Password Credentials）授权类型，得手动实现令牌的获取、缓存和注入流程，具体步骤如下：

1. 手动请求令牌端点获取访问令牌 #

直接用HTTP请求组件调用认证服务器的令牌接口，构造符合密码凭证模式的请求：

• 请求方法：POST
• 请求Header：设置Content-Type为application/x-www-form-urlencoded
• 请求体（表单格式）必须包含以下字段：
  • grant_type: 固定值password
  • username: 目标API的用户账号
  • password: 对应用户密码
  • client_id/client_secret: 如果认证服务器要求客户端身份验证，需添加这两个字段

用DataWeave构造请求体的示例：

%dw 2.0
output application/x-www-form-urlencoded
---
{
    grant_type: "password",
    username: vars.apiUser,
    password: vars.apiPass,
    client_id: vars.clientId,
    client_secret: vars.clientSecret
}

2. 缓存令牌避免重复请求 #

拿到令牌响应后，提取access_token和expires_in（过期时长，单位秒），用Mule的Cache组件或者对象存储（Object Store）缓存令牌，缓存时间设为expires_in的值，减少不必要的令牌请求。

3. 将令牌注入目标API请求 #

在调用目标API的HTTP请求组件中，添加Authorization请求头，格式为Bearer <你的访问令牌>。比如用DataWeave设置Header：

%dw 2.0
output application/json
---
{
    "Authorization": "Bearer " ++ vars.storedAccessToken
}

4. 处理令牌过期的情况 #

如果缓存的令牌过期，调用目标API会返回401错误。可以用Mule的错误处理器捕获401异常，清除缓存中的旧令牌，重新执行令牌获取流程，然后重试API请求。

关于客户端凭证模式报401的说明 #

客户端凭证模式是用客户端自身的身份去申请令牌，而密码凭证模式是用终端用户的账号密码认证，两者的身份逻辑完全不同。如果目标API必须验证用户身份，客户端凭证模式自然会被拒绝，所以不能直接替代。

内容的提问来源于stack exchange，提问作者Shree