OAuth 2.0客户端是否仅需在初始授权请求中发送client_id和client_secret？

嘿，刚好对资源所有者密码凭据流程这块挺熟的，来给你捋清楚你的疑问——你的大部分猜想其实都是正确的，具体分三种场景来说：

• 获取Access Token的初始请求：必须发送client_id和client_secret（或者通过HTTP Basic认证方式传递，效果一致）。这是因为授权服务器需要先验证客户端的合法性，确认请求来自已注册的可信客户端，才会签发令牌。
• 用Access Token访问资源服务器：完全不需要发送client_id和client_secret，你的这部分猜想100%正确。资源服务器只需要校验Access Token的有效性（比如签名是否合法、是否过期、权限范围是否匹配等），只要令牌有效就会返回对应资源——毕竟令牌本身已经由授权服务器签发，包含了必要的授权信息，无需再重复验证客户端身份。
• 使用Refresh Token获取新Access Token：这一步确实需要再次发送client_id和client_secret，你的猜想也没错。Refresh Token是用来刷新令牌的敏感凭证，授权服务器需要再次确认发起请求的客户端就是当初获取Refresh Token的合法客户端，防止Refresh Token被恶意第三方盗用后滥用。

另外补充个小细节：客户端身份验证的常见方式有两种，一种是在请求体中携带client_id和client_secret，另一种是用HTTP Basic认证（将client_id:client_secret做Base64编码后放在Authorization请求头里），两种都符合OAuth 2.0规范，后者相对更安全（前提是全程使用HTTPS），因为不会在请求体里明文暴露凭证。

内容的提问来源于stack exchange，提问作者Josef