使用@keycloak/keycloak-admin-client v26.3.0切换至client_credentials授权类型后，登录后令牌请求返回401（invalid_client_credentials）问题咨询

首先得帮你理清一个关键的混淆点：你遇到的401问题不是keycloak-admin-client的认证导致的，而是前端应用的客户端（日志里的my-client）在使用authorization_code授权码流程换令牌时出了问题，和后台用的ta-client是两个完全独立的客户端配置，别混在一起排查哦~

接下来一步步拆解问题和解决方法：

1. 先明确两个客户端的角色 #

• ta-client：这是你后台用keycloak-admin-client操作Keycloak设置的客户端，切换到client_credentials是正确的，只要它的配置没问题（开启Client Authentication、给服务账号加了足够的管理角色），后台的管理操作就不会受影响。
• my-client：这是用户登录你的应用时用的前端客户端，现在出问题的就是这个客户端的授权码换令牌环节，日志里的CODE_TO_TOKEN_ERROR已经明确指向它了。

2. 排查my-client的核心配置问题 #

你现在的问题是：前端用授权码code换令牌时，Keycloak返回invalid_client_credentials，核心原因是Keycloak要求my-client证明自己的身份，但前端的请求里没提供对应的凭证，或者my-client的配置和请求方式不匹配：

分两种情况处理：

情况A：你的my-client是公共客户端（比如SPA单页应用、纯静态页面）

公共客户端没法安全存储client_secret，所以Keycloak不应该要求它提供凭证：

• 登录Keycloak控制台，找到my-client的配置页
• 找到Client Authentication选项，把它关掉（切换成OFF）
• 确认Access Type设置为public
• 此时前端的authorization_code换令牌请求不需要带client_secret，Keycloak会正常处理请求，不会再返回401。

情况B：你的my-client是机密客户端（比如后端服务客户端、需要保密的传统Web应用）

机密客户端必须证明自己的身份，所以要做这些调整：

• 登录Keycloak控制台，开启my-client的Client Authentication，并记录下生成的client_secret
• 修改前端的换令牌请求，在POST的payload里添加client_secret=你的my-client的密钥
• 如果你用的是keycloak-js这类官方前端库，初始化时要把clientSecret参数加上，确保换令牌时自动带上。

3. 额外验证ta-client的配置（确保后台正常） #

虽然这和当前401无关，但可以单独确认下后台的ta-client是否配置正确：
用curl发个请求测试能不能拿到client_credentials类型的令牌：

curl -X POST https://mydomain/realms/my-realm/protocol/openid-connect/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=ta-client" \
  -d "client_secret=你的ta-client的密钥"

如果能成功返回包含access_token的响应，说明ta-client的配置是没问题的，后台的Keycloak管理操作会正常工作。

4. 最后再检查一个细节 #

确认my-client的Allowed Grant Types里有没有勾选authorization_code（默认是勾选的，但以防万一被误改），在Keycloak控制台的my-client配置页，进入Advanced Settings就能找到这个选项，确保它是开启的。

内容来源于stack exchange