Spring Boot OAuth2 JUnit正常但Postman调用401未授权及参数问题

我之前也碰到过一模一样的坑！JUnit测试跑OAuth2授权完全正常，结果Postman一调用就返回401，折腾了好一阵才理顺关键问题，给你一步步分析：

1. 令牌端点不接受JSON格式参数（最常见原因） #

OAuth2的/oauth/token端点默认只支持application/x-www-form-urlencoded类型的表单参数，这是OAuth2规范的要求。你用application/json传Raw JSON，或者直接拼URL参数（虽然URL参数属于form格式，但可能搭配其他问题），都会导致服务端无法正确解析授权请求，直接返回401。

解决步骤： #

• 在Postman中，将请求的Content-Type设置为application/x-www-form-urlencoded
• 切换到Body标签，选择x-www-form-urlencoded选项，然后逐一添加以下参数：
  • grant_type: password（密码模式下）
  • client_id: 你的客户端ID
  • client_secret: 你的客户端密钥
  • username: 用户账号
  • password: 用户密码

2. 缺少客户端Basic认证 #

大部分OAuth2客户端配置会要求客户端本身先通过Basic认证，JUnit测试里可能通过代码自动注入了认证信息，但Postman调用时没带上这部分内容，导致服务端拒绝请求。

解决步骤： #

• 打开Postman的Authorization标签，认证类型选择Basic Auth
• 在Username栏填你的client_id，Password栏填你的client_secret，Postman会自动帮你生成Authorization请求头
• 或者手动在请求头添加：Authorization: Basic [base64编码的clientId:clientSecret]（把clientId和clientSecret用冒号连接后做Base64编码）

3. URL参数拼接的潜在问题 #

你第二种方式用URL拼接参数，可能存在以下问题：

• 参数名拼写错误：比如把规范要求的client_id写成了驼峰式的clientId（你描述里的clientIdP...看起来可能是拼写失误）
• 参数值包含特殊字符未编码：比如密码里有&、=等字符，直接拼URL会导致参数截断

解决步骤： #

• 严格按照OAuth2规范的参数名填写：grant_type、client_id、client_secret等，不要自定义命名
• 如果必须用URL参数，确保参数值做了URL编码（Postman在Params标签里添加参数时会自动编码）

4. Spring Security配置的细节检查 #

如果以上方法都不行，检查你的Security配置类，确保：

• /oauth/token端点允许匿名访问
• 密码模式下关闭了CSRF防护（OAuth2默认关闭，但自定义配置可能误开启）

示例配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            // 允许令牌端点匿名访问
            .antMatchers("/oauth/token").permitAll()
            .anyRequest().authenticated();
    }

    // 其他配置...
}

先从第一和第二点入手调整，基本能解决绝大多数Postman调用OAuth2令牌端点返回401的问题。

内容的提问来源于stack exchange，提问作者Eniss