Azure Data Factory REST链接服务OAuth2客户端凭证流报缺少client_secret错误

问题根因 #

ADF内置REST链接服务的OAuth2客户端凭证流默认实现，会将client_id和client_secret拼接后做Base64编码，放在请求的Authorization: Basic <编码后内容>请求头中传递，不会自动将client_secret写入POST请求体。
你遇到的报错是因为对接的令牌端点要求client_secret必须以x-www-form-urlencoded表单参数的形式放在请求体中，无法识别请求头中传递的客户端凭证，因此抛出参数缺失错误。

可落地配置方案 #

方案1：调整内置REST链接服务配置（优先使用） #

1. 打开已创建的REST链接服务编辑页，找到OAuth2认证配置区块的令牌请求附加参数配置项
2. 追加以下表单参数：
   • 参数名grant_type，参数值固定填client_credentials
   • 参数名client_secret，参数值填写你对应服务主体的密钥值（建议关联Azure Key Vault存储密钥，避免明文配置）
   • 如果你的令牌端点要求传scope、resource这类参数，也在同一位置追加即可
3. 配置完成后直接测试连接，即可正常通过。

注意：如果你的ADF实例版本较旧，看不到令牌附加参数配置入口，直接使用方案2即可。

方案2：标准化Web活动鉴权流程（即你当前临时方案的优化版） #

如果内置OAuth2配置无法适配令牌端点的参数要求，可以将你当前使用的Web活动鉴权逻辑封装为可复用的流程，避免重复配置：

1. 在管道开头添加Web活动用于获取令牌：
   • 请求方法设置为POST
   • 请求头添加Content-Type，值为application/x-www-form-urlencoded
   • 请求体填写Postman中已验证通过的表单参数，示例：

     grant_type=client_credentials&client_id=你的客户端ID&client_secret=你的客户端密钥&scope=你的服务访问范围
     

2. 将Web活动返回结果中的access_token提取后存入管道变量
3. 配置REST数据集时选择匿名认证，在数据集的公共请求头配置中添加Authorization参数，值为Bearer @{variables('存储令牌的变量名')}
4. 后续所有调用该REST服务的活动都可以直接复用该数据集，无需重复编写鉴权逻辑。

避坑提示 #

• 不要选择「Azure AD」认证类型对接第三方OAuth2服务，该认证类型是专门为Azure AD托管的服务设计的，参数传递逻辑和通用OAuth2协议不兼容
• 令牌请求的Content-Type必须设置为application/x-www-form-urlencoded，如果误传为application/json同样会触发参数缺失报错
• 如果令牌有效期较长，可以在ADF中配置全局参数缓存令牌，避免每次请求都重复调用令牌端点，减少触发接口限流的概率。

内容的提问来源于stack exchange，提问作者Thomas