有可能从Spring OAuth2服务器获得一个access_token而没有客户端机密吗？

Question

我使用的是Spring Security的OAuth2服务器实现。我正在尝试使用OAuth2“password”授予类型从服务器的/oauth/tokenendpoint获取access_token，方法是只提供用户名、密码和客户端id，而不提供客户端机密。只要在HTTP请求的authorization头中提供客户端id和客户端机密，就可以正常工作，如下所示：

curl -u clientid:clientsecret http://myhost ... -d "grant_type=password&username=user&password=pw&client_id=OAUTH_CLIENT"

按照这里的建议:Spring OAuth2为令牌endpoint禁用HTTP基本身份验证，我设法为/Auth/tokenendpoint禁用了HTTP基本身份验证。但是当我试图通过cURL获取access_token时，如下所示：

curl http://myhost ... -d "grant_type=password&username=user&password=pw&client_id=OAUTH_CLIENT"

我得到一个BadCredentialsException并且可以看到以下消息：

身份验证失败：密码与存储值不匹配

 curl http://myhost ... -d "grant_type=password&username=user&password=pw&client_id=OAUTH_CLIENT&client_secret=SECRET"

一切又好起来了。

那么这是否意味着我必须以某种方式提供客户端机密来访问/auth/tokenendpoint？

PS：我知道，关于安全性，通过HTTP基本身份验证来保护这个endpoint通常是一个好主意，但是有些用例是可以不做的。

编辑：

我好像找到了省略客户秘密的方法。下面是我的OAuth2服务器配置（注意对AllowForMauthenticationForClients()和AutoApprove(true))的调用）：

@Configuration
@EnableAuthorizationServer
class OAuth2Config extends AuthorizationServerConfigurerAdapter {

    private final AuthenticationManager authenticationManager;

    public OAuth2Config(AuthenticationManager authenticationManager) {
        this.authenticationManager = authenticationManager;
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(this.authenticationManager);
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer oauth) throws Exception {
        // allows access of /auth/token endpoint without HTTP Basic authentication
        oauth.allowFormAuthenticationForClients();  
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients
        .inMemory()
        .withClient("acme")
        .autoApprove(true) // <- allows for client id only
        .authorizedGrantTypes("authorization_code", "refresh_token", "password").scopes("openid");
    }

}

编辑二：

Answer 1

根据规范（RFC 6749)，如果应用程序的客户端类型是公共的，则不需要客户端机密。相反，如果客户端类型是机密的，则需要客户端机密。

如果Spring提供了一个API来设置客户机类型，那么尝试将客户机类型设置为public。