密码授权至二级用户存储失败问题咨询

碰到这个invalid_grant错误，而且只有secondary存储的用户出问题，我太熟了——大概率是用户名域名匹配错误或者secondary存储的配置/权限没到位，下面是一步步排查和解决的方法：

• 先确认请求里的用户名格式是否正确
  错误提示里显示<USER_NAME>@carbon.super，但secondary user store里的用户，默认域名是你配置的存储名称（比如你的secondary store叫MySecondaryStore，用户应该是john@MySecondaryStore）。如果你的请求里只传了john或者错误带了@carbon.super，系统会去primary store（carbon.super）找这个用户，自然找不到，认证直接失败。
  解决：在获取token的请求里，把用户名改成你的用户名@你的secondary存储名称，比如john@MySecondaryStore。

• 检查Secondary User Store的基础配置
  登录WSO2管理控制台，进入主菜单 > 用户和角色 > 用户存储，找到你的secondary存储点击编辑：

  • 确保启用选项是勾选状态；
  • 查看User Store Properties里的ReadOnly是否设为false（如果是只读存储，可能会影响认证流程，一般可写存储不会有这个问题）；
  • 确认UserNameJavaRegEx和UserNameJavaScriptRegEx的规则没有限制合法用户名的格式，避免把正常用户名拦截。

• 验证OAuth应用是否放开Secondary Store用户的访问权限
  进入主菜单 > 应用 > 服务提供者，找到你用来获取token的应用：

  • 转到入站认证配置 > OAuth/OpenID Connect配置，点击编辑；
  • 检查允许的用户存储列表，是否添加了你的secondary user store名称。没添加的话，系统只会允许primary store的用户通过认证；
  • 同时检查应用的权限设置，确保给用户分配了有效的角色（比如internal/subscriber或者自定义角色），没有对应权限也会导致认证失败。

• 检查用户本身的状态和角色
  进入主菜单 > 用户和角色 > 列表用户，选择你的secondary存储，找到对应的用户：

  • 确认用户处于启用状态，没有被锁定；
  • 检查用户是否拥有至少一个有效角色，比如internal/subscriber——没有角色的用户通常无法通过OAuth认证。

• 最后检查Carbon全局配置
  打开<WSO2_HOME>/repository/conf/carbon.xml文件：

  • 找到<AllowMultipleUserStores>，确保值为true（默认是true，但如果被修改过会导致多用户存储功能失效）；
  • 如果你启用了<EnableEmailUserName>用邮箱作为用户名，要确保secondary用户的邮箱格式正确，且请求里使用邮箱作为用户名时带对对应的域名。

如果以上步骤都尝试后仍未解决，建议查看WSO2的日志文件（<WSO2_HOME>/repository/logs/wso2carbon.log），搜索invalid_grant或具体用户名，日志中会有更详细的错误细节，比如用户找不到、认证失败的具体原因，方便进一步定位问题。

内容的提问来源于stack exchange，提问作者Fr4ncx