使用Postman调用Exact Online API无法生成access token问题咨询

已按照官方指引使用POST方法走授权码流程申请access token，请求Body配置参考如下截图：

文档标注的预期返回结果参考截图：

当前提交的请求参数示例如下：

{
  "code": "XTzM!IAAAACbPTzQJXwFhM",
  "redirect_uri": "...",
  "grant_type": "authorization_code",
  "client_id": "b81cc4de-d192-400e-bcb4-09254394c52a",
  "client_secret": "n3G7KAhcv8OH"
}

可行排查与解决方法 #

• 优先检查请求体格式：Exact Online的token接口不支持JSON格式请求体，必须将Content-Type设置为application/x-www-form-urlencoded，把所有参数转成表单键值对提交，不要放在JSON结构中传输，这是这类问题最高发的原因。
• 校验授权码有效性：授权码有效期仅1分钟，且只能使用一次，若拿码后等待时间过长、或之前已经用该码发起过请求，授权码会直接失效，需要重新走授权流程获取全新的code再发起请求。
• 核对回调地址完全匹配：请求token时传入的redirect_uri，必须和第一步获取授权码时传入的回调地址完全一致，包括协议（http/https）、域名、路径、末尾斜杠、自定义参数都不能有任何差异，否则会直接校验不通过。
• 校验客户端凭证：确认传入的client_id和client_secret属于同一个应用，和获取授权码时使用的应用一致，复制参数时注意不要夹带空格、换行符等不可见字符。
• 确认请求端点正确：Exact Online不同区域的服务对应不同的token请求端点，需要和你账号所属的服务区域匹配，不要误用其他区域的接口地址。
• 检查权限范围配置：第一步发起授权请求时申请的scope范围，必须和应用后台配置的已开通权限一致，不要申请应用未被授权的权限。
• 排查请求头配置：不要携带多余的自定义请求头，重点确认Content-Type值准确，不要误写为application/json。

错误排查参考：如果返回错误为invalid_client，优先排查请求格式、客户端凭证是否正确；如果返回错误为invalid_grant，优先排查授权码是否过期/已使用、回调地址是否匹配。

内容的提问来源于stack exchange，提问作者Ishan Shrestha