Spring OAuth通过Postman测试/oauth/check_token接口遇未授权错误

你在配置Spring Security OAuth2资源服务器时，调用授权服务器的check_token端点始终碰到未授权错误，哪怕已经在请求头传入了授权信息。咱们一步步拆解可能的问题，逐个排查解决：

可能的原因及对应解决方案 #

1. 客户端凭证与授权服务器不匹配 #

你的RemoteTokenServices里配置了clientId和clientSecret，一定要确保这两个值和授权服务器上注册的完全一致——包括大小写、特殊字符、前后空格都不能错。授权服务器会先验证资源服务器作为客户端的身份，凭证不匹配直接返回401。

2. 请求头的授权格式是否正确 #

调用check_token端点时，资源服务器需要用Basic认证来证明自己的客户端身份：把clientId:clientSecret做Base64编码后，放在Authorization头里，格式是Basic <Base64编码字符串>。
你可以手动验证编码是否正确：

echo -n "clientId:secretId" | base64

把生成的结果替换到请求头里，直接用Postman或curl测试check_token端点，看是否能正常返回token信息。

3. 自定义CustomTokenExtractor的干扰 #

你配置了自定义的TokenExtractor，这个类的逻辑可能会影响请求中token的提取。比如它是否正确识别了请求头里的授权信息？是否误过滤了有效token？
建议先临时注释掉.tokenExtractor(new CustomTokenExtractor())，用默认实现测试。如果此时能正常调用check_token，那问题就出在这个自定义提取器上，需要检查它的token解析逻辑。

4. 授权服务器的check_token端点权限配置 #

要确保授权服务器的/oauth/check_token端点允许资源服务器的客户端访问。比如在授权服务器的配置里，需要正确设置端点的访问权限：

@Override
public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
    // 允许已认证的客户端访问check_token，测试阶段也可以用permitAll()
    security.checkTokenAccess("isAuthenticated()"); 
}

如果授权服务器限制了这个端点的访问权限，资源服务器没带对凭证就会被拒。

5. 资源服务器配置冗余导致冲突 #

你同时配置了authenticationManagerBean和tokenServices，还在ResourceServerSecurityConfigurer里指定了authenticationManager，其实资源服务器默认会用RemoteTokenServices验证token，不需要额外配置OAuth2AuthenticationManager。可以简化配置试试：

@Configuration
@EnableResourceServer
public class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("adminProfile")
                .tokenServices(tokenService()); // 直接绑定tokenServices，去掉多余的authenticationManager配置
        // 先注释自定义tokenExtractor测试
        // .tokenExtractor(new CustomTokenExtractor());
    }

    @Primary
    @Bean
    public RemoteTokenServices tokenService() {
        RemoteTokenServices tokenService = new RemoteTokenServices();
        tokenService.setCheckTokenEndpointUrl(
                "http://localhost:8080/oauth/check_token");
        tokenService.setClientId("clientId");
        tokenService.setClientSecret("secretId");
        return tokenService;
    }
}

快速测试步骤 #

1. 先绕开资源服务器，直接用工具测试授权服务器的check_token端点：

curl -X POST "http://localhost:8080/oauth/check_token" \
  -H "Authorization: Basic <Base64编码的clientId:secretId>" \
  -d "token=<你的访问令牌>"

如果这个请求返回401，问题在授权服务器的客户端配置或端点权限；如果能正常返回token详情，那问题就出在资源服务器的配置里。
2. 按照上面的建议逐步调整配置，每次修改后测试API访问状态。

内容的提问来源于stack exchange，提问作者Shehraz Khan