IBM Cloud AppID：客户端凭证流JWT未返回应用角色问题

先搞清楚核心逻辑 #

客户端凭证流（client_credentials）是认应用身份，不认用户的。所以你得把角色直接分配给你的应用，不是分配给用户或者用户组——这是绝大多数人踩的坑。

一步步排查修复 #

1. 检查角色分配对象 #

• 登IBM Cloud控制台进AppID服务，找到你注册的「常规Web应用」
• 点进这个应用的「角色」标签，确认你创建的角色是直接挂在这个应用下面的，不是给用户/用户组加的
• 要是之前分配错了，赶紧改过来给应用分配角色

2. 确认令牌配置生效 #

• 进AppID的「令牌」配置页，找「自定义声明」
• 确保accessTokenClaims的配置是对的，而且已经保存：

  {
    "accessTokenClaims": [{"source": "roles"}]
  }
  

• 划重点：改完配置别立刻测，等个1-2分钟让配置同步，不然白忙活

3. 规范请求格式 #

客户端凭证流的请求必须严格按OAuth 2.0来，别瞎用格式：

• 用application/x-www-form-urlencoded格式的Body，参数就三个：
  • grant_type: client_credentials
  • client_id: 你的应用ID
  • client_secret: 你的应用密钥
• 请求头一定要设Content-Type: application/x-www-form-urlencoded
• 认证方式二选一就行：要么用Basic认证（把client_id和client_secret用base64编码后放Authorization头，格式是Basic <base64编码的client_id:client_secret>），要么在Body里传client_id和client_secret，别同时用两种方式

4. 验证令牌内容 #

拿到令牌后，自己本地用JWT解码工具解析（别用在线工具，怕泄露密钥），看看roles字段有没有出现在payload里，正常应该是"roles": ["你创建的角色名"]

容易踩的坑再提一遍 #

• 角色给了用户不是应用：客户端凭证流不认用户角色，只认应用自己的角色
• 配置改了没保存或者没等生效：改完一定要点保存，等会儿再测
• 用了form-data格式：OAuth规范不支持这个，必须用表单编码格式

内容的提问来源于stack exchange，提问作者Timon