Keycloak使用password授权类型获取token始终返回401错误如何解决

可能的报错原因 #

• Realm不匹配：Keycloak不同Realm的用户完全隔离，若你将用户创建在默认master Realm，却在请求地址中填写了其他自定义Realm名称，即使账号密码正确也会校验失败。
• 用户状态异常：对应Realm下的目标用户未开启「启用」开关，或触发了密码过期、账号锁定、临时密码未修改、IP访问限制、并发会话数限制等策略，都会被判定为凭证无效。
• 客户端不支持密码授权模式：你使用的grant_type=password属于直接访问授权，需进入对应Realm的「客户端」配置页，找到my-client并在「能力配置」中勾选「直接访问授权已启用」，未开启该配置会直接拦截请求。
• client_secret不匹配：进入my-client的「凭证」页核对Secret值，若请求中填写的Secret与后台生成值不一致，或复制时携带了多余空格，也会触发该报错。
• 密码特殊字符未转义：若密码包含&、+、%等x-www-form-urlencoded格式保留字符，Postman未自动转义时会导致后端拿到的密码与实际值不符。

详细错误信息查看方法 #

• 查看Keycloak服务日志：默认日志级别会打印invalid_grant的具体触发原因，若信息不够详细，Keycloak 17+版本可添加启动参数-Dquarkus.log.level=DEBUG临时开启DEBUG日志，重启服务后重新发起请求即可看到完整的校验流程日志。
• 后台开启事件记录：进入对应Realm的「事件」-「配置」页，开启「保存事件」并调长登录事件过期时间，重新请求后在「登录事件」列表中找到对应失败请求，事件详情会明确标注失败原因，例如user_disabled、grant_type_not_allowed等。

常见请求疏漏 #

• 请求地址占位符未替换：确认你已将地址中的realm-name替换为实际使用的Realm名称，未替换会路由到不存在的Realm导致校验失败。
• 路径前缀不匹配：Keycloak 17+版本默认访问路径不带/auth前缀，若你未手动配置保留该前缀，请求地址应改为http://localhost:8484/realms/realm-name/protocol/openid-connect/token，多余的/auth前缀会导致路由错误。
• 参数携带多余空格：检查client_id、username、password、client_secret等参数前后是否有多余空格，复制操作很容易带入不可见空格导致参数不匹配。

内容的提问来源于stack exchange，提问作者Максим Никитин