获取Cloud Foundry OAuth令牌后调用SAP区块链API提示未授权

我之前处理过类似的场景，帮你梳理几个关键排查点和解决方案：

1. 先修正curl请求的错误头 #

你当前的curl命令里加了-H "Application/json"，但密码授权类型（password grant）的请求应该用表单格式（application/x-www-form-urlencoded），而不是JSON格式。这个错误可能导致你拿到的令牌不符合服务的预期，先修正命令：

curl -v -XPOST -u "cf:" --data "username=<username>&password=<password>&client_id=cf&grant_type=password&response_type=token" https://login.cf.us10.hana.ondemand.com/oauth/token

去掉那个错误的Application/json头，重新获取令牌再尝试调用API。

2. 对比手动登录和curl获取的令牌内容 #

手动登录网页控制台时，浏览器会拿到一个有效的令牌，你可以这样获取并对比：

• 打开浏览器开发者工具（F12），切换到Network标签页
• 刷新blockchain-cockpit页面，找到任意一个API请求，查看其Authorization头里的Bearer令牌
• 用JWT解析工具解析这个令牌，同时解析你curl拿到的令牌，重点对比三个核心字段：
  • aud（受众）：CF默认cf客户端的令牌受众通常是CF自身的API，不一定包含blockchain-cockpit服务的标识（可能是服务URL或内部ID）。要确保curl令牌的aud包含服务要求的受众值。
  • scope（权限范围）：手动登录的令牌可能包含服务要求的特定权限（比如blockchain-cockpit.read、blockchain-cockpit.write），而你的curl请求没指定scope参数，导致令牌缺少必要权限。
  • iss（发行者）：如果两个令牌的发行者不一致，比如手动登录的令牌来自SAP ID Service而不是CF的UAA，那你需要切换到对应发行者的令牌端点去获取令牌。

3. 调整令牌请求的参数 #

如果对比后发现问题：

• 缺少权限范围：在curl请求里添加scope参数，比如：

  curl -v -XPOST -u "cf:" --data "username=<username>&password=<password>&client_id=cf&grant_type=password&response_type=token&scope=blockchain-cockpit.admin"
  

  具体的scope值可以从手动登录的令牌里直接提取。
• 受众不匹配：需要使用blockchain-cockpit服务对应的客户端ID来请求令牌。你可以在CF里将该服务实例绑定到你的应用，然后从服务凭证里获取对应的client_id和client_secret，替换curl里的cf客户端信息。

4. 确认服务的认证机制 #

有些SAP Cloud Platform的服务可能不直接接受CF的UAA令牌，而是要求使用SAP Global ID的令牌。如果手动登录的令牌发行者是SAP ID相关的地址，那你需要切换到SAP ID Service的令牌端点来获取令牌，而不是CF的login.cf.us10.hana.ondemand.com/oauth/token。

按这个步骤排查，应该能快速定位到问题所在。

内容的提问来源于stack exchange，提问作者Lynton Grice