Spring Boot调用OAuth2 authorization_code外部API及DocuSign Token问题求助

核心实现步骤 #

• 引入依赖：在项目构建文件中添加Spring Security OAuth2 Client依赖，自动集成授权流程：
  Maven（pom.xml）示例：

  <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-oauth2-client</artifactId>
  </dependency>
  

• 配置OAuth2参数：在application.yml中配置客户端与授权服务信息，替换为实际的外部API参数：

  spring:
    security:
      oauth2:
        client:
          registration:
            external-api:
              client-id: 你的Client ID
              client-secret: 你的Secret Key
              authorization-grant-type: authorization_code
              redirect-uri: "{baseUrl}/login/oauth2/code/external-api"
              scope: read,write # 外部API要求的权限列表
          provider:
            external-api:
              authorization-uri: 外部API的授权端点地址
              token-uri: 外部API的令牌端点地址
  

• 获取令牌并调用API：通过Spring提供的注解或服务类获取授权后的令牌，再携带令牌调用外部API：

  @RestController
  public class ExternalApiCaller {
      @GetMapping("/invoke-external-api")
      public String invokeApi(@RegisteredOAuth2AuthorizedClient("external-api") OAuth2AuthorizedClient authorizedClient) {
          String accessToken = authorizedClient.getAccessToken().getTokenValue();
          // 使用WebClient发起请求
          return WebClient.builder()
                  .defaultHeader(HttpHeaders.AUTHORIZATION, "Bearer " + accessToken)
                  .build()
                  .get()
                  .uri("外部API的具体接口地址")
                  .retrieve()
                  .bodyToMono(String.class)
                  .block();
      }
  }
  

• 自动处理授权流程：Spring Security会自动拦截未授权请求，跳转至外部API的授权页面，用户登录授权后，系统会自动完成授权码交换令牌的逻辑，无需手动编码处理。

错误原因 #

该错误说明你的Client ID对应的应用尚未获得用户的授权同意，authorization_code模式要求必须先由用户通过浏览器完成授权流程，才能获取有效令牌。

解决方法 #

• 触发用户授权流程：先引导用户访问DocuSign的授权页面（测试环境用account-d.docusign.com，生产环境用account.docusign.com），示例地址格式：

  https://account-d.docusign.com/oauth/auth?response_type=code&scope=signature%20impersonation&client_id=你的Client ID&redirect_uri=你的回调地址
  

  替换scope为你需要的权限（比如signature）、client_id和redirect_uri（需与DocuSign后台应用配置的回调地址完全一致）。用户登录并授权后，回调地址会收到授权码code。
• 用授权码交换令牌：拿到授权码后，调用DocuSign SDK的令牌获取方法，传入授权码、回调地址等参数，即可成功获取Access Token。
• 利用刷新令牌续期：如果SDK返回了Refresh Token，后续可以直接用它刷新Access Token，无需用户再次授权（除非用户在DocuSign后台取消了应用授权）。
• 校验回调地址配置：确保DocuSign应用后台的回调地址与代码中配置的完全匹配，包括协议（HTTP/HTTPS）、端口、路径，任何细微差异都会导致授权失败。

内容的提问来源于stack exchange，提问作者Sankalp