Postman生成的Token有效，C# Web Client生成的Token验证失败问题

我来帮你一步步排查这个Token无效的问题，毕竟我也碰到过类似的坑😉

首先，咱们得从Token生成的源头找问题——因为你用C#生成的Token哪怕粘去Postman也用不了，说明根本不是API调用时的问题，而是你获取Token的过程本身就有问题。

1. 核对Token请求的参数是否和Postman完全一致 #

你代码里用了Dictionary<string, string>来存请求参数，一定要和Postman里的设置逐一对上：

• grant_type：比如你Postman用的是client_credentials还是password？C#里是不是写的一样？别把password写成passwords这种低级错误。
• client_id & client_secret：有没有拼写错误？另外注意，有些OAuth服务器要求这两个参数通过Authorization头的Basic Auth传递，而不是放到form表单里。你看看Postman里是不是选了"Basic Auth"选项，而C#里却直接把它们塞进了form参数里？如果是这样，你得改成用Basic Auth的方式：

  var authToken = Convert.ToBase64String(Encoding.ASCII.GetBytes($"{yourClientId}:{yourClientSecret}"));
  _httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic", authToken);
  

• scope：Postman里指定的权限范围是不是和C#里的完全一致？比如Postman里填了api.read api.write，C#里只写了api.read，那生成的Token权限不够，API肯定会拒绝。

2. 确认Token请求的Content-Type是否正确 #

OAuth2.0的token接口要求请求内容类型是application/x-www-form-urlencoded，你在C#里是不是用了FormUrlEncodedContent来包装参数？如果不小心用了JsonContent或者其他格式，服务器解析出来的参数会乱掉，生成的自然是无效Token。

正确的做法是：

var content = new FormUrlEncodedContent(values);

3. 解码Token对比核心字段 #

把C#生成的Token和Postman生成的Token分别解码（可以用本地的JWT解码工具），对比这几个关键字段：

• aud：受众，必须是你要调用的API的地址或者标识，如果C#生成的Token的aud和API要求的不匹配，直接会判定无效。
• iss：发行者，要和OAuth服务器的地址一致，别出现拼写错误。
• exp：过期时间，看看是不是刚生成就过期了？比如服务器用的是UTC时间，而你客户端的时区设置有问题，导致Token还没用到就过期了。
• scope：权限范围，和之前说的一样，必须和Postman里的完全匹配。

4. 检查API调用时的Authorization头格式 #

虽然你说C#调用API时提示无效，但还是要确认下你加头的方式对不对：

// 正确的写法
apiClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", yourToken);

别写成"bearer"（小写），虽然大部分服务器不区分大小写，但有些严格的会报错；也别多打或少打空格，比如"Bearer " + token或者"Bearer" + token都是错的。

5. 查看服务器日志（最直接的方式） #

如果上面的排查都没问题，那最好能拿到OAuth服务器和API服务器的日志，看看：

• C#请求获取Token时，服务器有没有返回什么警告或者错误？
• API服务器验证Token时，具体是哪一步失败了？是签名验证不通过？还是受众不匹配？还是权限不足？

最后给你一个标准的获取Token和调用API的示例代码，你可以对照着改：

获取Token的示例代码 #

using System;
using System.Collections.Generic;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Text;
using System.Threading.Tasks;

public class OAuthTokenService
{
    private readonly HttpClient _httpClient;

    public OAuthTokenService(HttpClient httpClient)
    {
        _httpClient = httpClient;
        _httpClient.BaseAddress = new Uri("https://你的OAuth服务器地址/");
    }

    public async Task<string> GetValidTokenAsync()
    {
        var requestParams = new Dictionary<string, string>
        {
            { "grant_type", "client_credentials" }, // 根据你的实际授权类型修改
            { "scope", "api.read api.write" } // 和Postman里的scope一致
        };

        // 如果服务器要求用Basic Auth传递client_id和client_secret
        var clientCredentials = $"{你的ClientId}:{你的ClientSecret}";
        var encodedCredentials = Convert.ToBase64String(Encoding.ASCII.GetBytes(clientCredentials));
        _httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic", encodedCredentials);

        var content = new FormUrlEncodedContent(requestParams);
        var response = await _httpClient.PostAsync("connect/token", content);
        
        // 确保请求成功，否则抛出异常方便排查
        response.EnsureSuccessStatusCode();

        var tokenResult = await response.Content.ReadAsAsync<TokenResponse>();
        return tokenResult.AccessToken;
    }
}

// 用于反序列化Token响应的类
public class TokenResponse
{
    public string AccessToken { get; set; }
    public string TokenType { get; set; }
    public int ExpiresIn { get; set; }
}

调用API的示例代码 #

var apiHttpClient = new HttpClient();
apiHttpClient.BaseAddress = new Uri("https://你的API地址/");

var tokenService = new OAuthTokenService(new HttpClient());
var validToken = await tokenService.GetValidTokenAsync();

apiHttpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", validToken);

var apiResponse = await apiHttpClient.GetAsync("api/你的接口路径");
apiResponse.EnsureSuccessStatusCode();
var responseContent = await apiResponse.Content.ReadAsStringAsync();

内容的提问来源于stack exchange，提问作者Shan Khan