无法从Keycloak获取OAuth Token：invalid_grant错误排查求助

我来帮你排查这个问题，结合Keycloak public客户端的特性，咱们一步步梳理可能的遗漏点：

1. 再确认Direct Access Grants的核心配置 #

• 虽然你提到已经开启了Direct Access Grants Enabled，但建议再去客户端设置页核对：这个开关确实设为ON，并且保存了配置（有时候容易点了开关但忘了点保存按钮）。
• 确保请求里的client_id和Keycloak中创建的public客户端ID完全一致，注意大小写、特殊字符，别出现拼写错误。

2. 检查用户的状态与权限限制 #

• 确认用户账号没有被禁用：进入Keycloak的用户详情页，Enabled开关必须是打开状态。
• 检查用户是否开启了双重认证（2FA）：如果用户启用了OTP或其他2FA方式，直接用密码走Direct Grant流程会失败，因为缺少OTP参数，这种情况就会返回“无效凭据”的错误。
• 核对请求的realm和用户所在的realm是否一致，别跨realm发起请求了。

3. 验证Postman请求的参数与格式 #

Direct Grant的请求必须严格符合要求，别踩这些坑：

• 请求URL：{{你的Keycloak地址}}/realms/{{realm名称}}/protocol/openid-connect/token
• 请求方法：POST，Content-Type必须设为application/x-www-form-urlencoded
• 必须携带的参数：
  • grant_type=password（固定值，不能错）
  • client_id=你的public客户端ID
  • username=用户账号
  • password=用户密码
• ❌ 绝对不要加client_secret参数！public客户端没有密钥，加了反而会触发错误。

4. 检查Realm层面的登录限制 #

• 进入Realm的Login设置页，确认没有禁用密码登录相关的选项，比如Allow User Password Login是否开启。
• 查看Realm的Required Actions列表，如果有强制用户必须完成的操作（比如强制修改初始密码），用户必须先在Keycloak控制台完成这些操作，否则无法通过Direct Grant获取token。

推荐的替代方案：Authorization Code Flow（带PKCE） #

其实Direct Access Grants（密码模式）并不推荐用于public客户端，因为会把用户密码暴露给客户端，不符合OAuth2的安全最佳实践。对于SPA、移动端这类public客户端，更安全的方式是使用Authorization Code Flow + PKCE：

1. 生成一个随机的code_verifier字符串，再通过SHA-256哈希生成对应的code_challenge。
2. 引导用户跳转到Keycloak的授权页面，携带参数：client_id、redirect_uri、response_type=code、code_challenge、code_challenge_method=S256。
3. 用户登录成功后，Keycloak会跳转回你的回调地址并返回code，用这个code加上code_verifier请求token接口，就能获取到合法的access token。

内容的提问来源于stack exchange，提问作者Shubham Jain