Postman OAuth2.0授权助手可正常获Token，手动请求报invalid_client

• 客户端认证方式不符：Postman OAuth助手默认会把客户端ID和密钥做Basic Auth编码，放到Authorization请求头里，而你手动请求可能没处理这一步。IdentityServer默认要求客户端通过Basic Auth或在form格式的请求体里传递client_secret。

  • 手动请求时，要么在请求头添加Authorization: Basic <base64编码的client_id:client_secret>（把客户端ID:客户端密钥转成base64字符串）；要么在POST请求的application/x-www-form-urlencoded体里带上client_id、client_secret参数，同时确保grant_type设为password，并附带username、password、scope（如果配置了的话）。

• 请求Content-Type错误：手动请求可能没设置正确的Content-Type头。Postman会自动设为application/x-www-form-urlencoded，如果手动请求用了multipart/form-data或application/json，IdentityServer无法解析参数，会触发客户端认证失败。

• GET请求的限制：IdentityServer默认不建议用GET传递敏感凭证，部分配置会直接拒绝GET方式的Token请求，建议统一用POST请求，参数放在form格式的请求体里。

• 客户端配置细节遗漏：检查IdentityServer的客户端配置：

  • 确认AllowedGrantTypes包含GrantType.ResourceOwnerPassword；
  • 确认RequireClientSecret为true（如果你的客户端需要密钥认证）；
  • 确认ClientSecrets中存储的哈希值和你使用的明文密钥匹配（IdentityServer存的是哈希后的密钥，不是明文）。

Postman授权助手的额外操作 #

Postman在发起请求时会自动处理以下细节，这是手动请求容易忽略的：

• 自动将客户端ID和密钥做Basic Auth编码并添加到请求头；
• 自动设置Content-Type: application/x-www-form-urlencoded；
• 自动按要求组织请求体参数，确保格式和参数完整性。

内容的提问来源于stack exchange，提问作者Kanailov George