使用django-oauth-toolkit时出现401 invalid_client错误求助

1. 移除冗余的身份验证参数 #

你的请求同时在Authorization头和请求body里传递了客户端凭证，这会导致django-oauth-toolkit验证冲突。Client Credentials模式只需要二选一：

• 方案A：仅使用Basic Auth头

fetch("http://localhost:8000/o/token/", {
    body: new URLSearchParams({
        grant_type: 'client_credentials'
    }),
    headers: {
        "Content-Type": "application/x-www-form-urlencoded",
        // 注意：如果client_id/secret含特殊字符，先encodeURIComponent再拼接
        "Authorization": `Basic ${btoa(`${encodeURIComponent(client_id)}:${encodeURIComponent(client_secret)}`)}`
    },
    method: "POST"
}).then(res => console.log(res))

• 方案B：仅在body里传递凭证

fetch("http://localhost:8000/o/token/", {
    body: new URLSearchParams({
        grant_type: 'client_credentials',
        client_id: client_id,
        client_secret: client_secret
    }),
    headers: {
        "Content-Type": "application/x-www-form-urlencoded"
    },
    method: "POST"
}).then(res => console.log(res))

2. 检查Django应用配置 #

登录http://localhost:8000/o/applications/，确认你的应用：

• **授权类型（Authorization Grant Type）**必须勾选Client credentials
• **客户端类型（Client Type）**必须设置为Confidential（Client Credentials模式要求客户端为可信类型）

3. 配置CORS解决跨域问题 #

React本地开发端口（通常为3000）与Django的8000端口属于跨域，浏览器会拦截请求，可能表现为401（实际是预检请求失败）：

1. 安装django-cors-headers：

pip install django-cors-headers

2. 修改Django的settings.py：

INSTALLED_APPS = [
    # ... 其他已安装应用
    'corsheaders',
]

MIDDLEWARE = [
    'corsheaders.middleware.CorsMiddleware',  # 放在中间件列表最前面
    'django.middleware.common.CommonMiddleware',
    # ... 其他中间件
]

# 允许React的本地域名
CORS_ALLOWED_ORIGINS = [
    "http://localhost:3000",
]

# 允许携带跨域凭证（按需开启）
CORS_ALLOW_CREDENTIALS = True

4. 验证Django OAuth2基础配置 #

确认settings.py中已正确配置django-oauth-toolkit：

INSTALLED_APPS += ['oauth2_provider']

OAUTH2_PROVIDER = {
    'ACCESS_TOKEN_EXPIRE_SECONDS': 3600,  # 可选，自定义令牌过期时间
}

同时项目根路由urls.py已包含OAuth2路由：

from django.urls import path, include

urlpatterns = [
    # ... 其他业务路由
    path('o/', include('oauth2_provider.urls', namespace='oauth2_provider')),
]

5. 用工具验证接口可用性 #

直接用curl或Postman测试接口，排除前端代码问题：

curl -X POST http://localhost:8000/o/token/ \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials&client_id=你的客户端ID&client_secret=你的客户端密钥"

如果curl请求也返回401，说明问题出在Django端的应用配置或凭证错误；如果curl请求成功，再回到前端排查代码细节。

内容的提问来源于stack exchange，提问作者Ashish Tripathi