使用OAuth2RestTemplate集成Spring Boot与Salesforce遇HTTP 400错误

阿华AIGC实验室

2026-5-27

Spring Boot + Salesforce OAuth2 400（访问令牌被拒绝）问题排查

先明确你的问题场景：

正尝试使用OAuth2RestTemplate将Spring Boot与Salesforce集成，尽管凭据正确，却仍收到“访问令牌被拒绝”错误。经调试发现Salesforce返回HTTP 400状态码。相关代码片段如下：
package com.sentryds.advis.salesforce; 
import org.springframework.boot.SpringApplication; 
import org.springframework.boot.autoconfigure.SpringBootApplication; 
import org.springframework.security.oauth2.client.OAuth2RestTemplate; 
import org.springframework.security.oa...

碰到这种明明凭据没问题却拿不到令牌的情况确实头疼，我之前踩过几个类似的坑，给你列几个大概率能解决问题的排查方向：

先确认环境端点是否匹配
Salesforce的生产和沙盒环境OAuth2端点完全不同，配混了直接就会返回400：
- 生产环境：令牌端点是 https://login.salesforce.com/services/oauth2/token
- 沙盒环境：令牌端点是 https://test.salesforce.com/services/oauth2/token
  去核对你配置里的access-token-uri，是不是和你实际用的Salesforce环境对应。
检查客户端权限范围（scope）是否足够
Salesforce对OAuth2的scope卡得很严，比如你要调用API，至少得加api或者full；如果需要刷新令牌，还要额外加refresh_token。要是scope配置不全，哪怕账号密码正确，Salesforce也会拒绝颁发令牌。

核对OAuth2RestTemplate的配置细节
有时候我们会漏配置关键参数，比如grant type是否和Salesforce端一致，clientId、clientSecret有没有正确注入。给你贴个密码模式的正确配置参考：

@Bean
public OAuth2RestTemplate salesforceRestTemplate() {
    ResourceOwnerPasswordResourceDetails resourceDetails = new ResourceOwnerPasswordResourceDetails();
    resourceDetails.setClientId("你的Salesforce客户端ID");
    resourceDetails.setClientSecret("你的Salesforce客户端密钥");
    resourceDetails.setAccessTokenUri("https://login.salesforce.com/services/oauth2/token");
    resourceDetails.setUsername("你的Salesforce用户名");
    resourceDetails.setPassword("你的Salesforce密码+安全令牌");
    resourceDetails.setScope(Arrays.asList("api", "refresh_token"));
    return new OAuth2RestTemplate(resourceDetails);
}

注意：密码模式下，密码是Salesforce登录密码+安全令牌的组合，不是单独的密码，这也是很多人踩坑的点。

检查Salesforce端的Connected App配置
去Salesforce的Setup里找到你的Connected App：
- 确认Allowed IP Ranges有没有把你Spring Boot应用所在的服务器IP加进去，IP不在白名单里会直接被拒绝
- 要是用授权码模式，Callback URL必须和你Spring Boot里配置的完全一致，包括http/https前缀
- 确认Connected App的状态是Enabled，没有被管理员禁用
开启DEBUG日志抓请求细节
可以在application.properties里加下面的配置，查看实际发送给Salesforce的请求参数：
```
logging.level.org.springframework.security.oauth2=DEBUG
logging.level.org.springframework.web.client=DEBUG
```
这样就能看到请求的完整参数、headers，对比Salesforce的OAuth2文档，就能快速定位是不是某个参数拼写错误或者格式不对。