邮递员用错了（胡说八道？）OAuth2中的代码在Keyclope服务器上流动

Question

我试图使用Postman（版本7.20.0-linux5.5.8-200.fc31.x86_64/x64）对Keycloak 9.0.0服务器使用OAuth2.0授权代码流进行身份验证，该服务器由Google作为IdP支持。

邮递员正在将以下信息发送到/令牌endpoint尝试将代码交换为访问/刷新令牌时：

grant_type:    authorization_code
code:          4/xgFPM8rkZXA1pWguPMHPKg8GS3BrI7whtmSq2U2K4_4Cy62m10y2l3IQp3KuiLRyaLaZWKCUiGJGEWVJ9K4zcTc
redirect_uri:  http://localhost:3002
client_id:     mission-control
client_secret: 3cc09c80-••••-••••-••••-••••••••

这在KeyCloak中失败，并在Postman控制台中确认了以下错误：

POST /auth/realms/test-realm/protocol/openid-connect/token HTTP/1.1
Content-Type: application/x-www-form-urlencoded
User-Agent: PostmanRuntime/7.23.0
Accept: */*
Cache-Control: no-cache
Postman-Token: f2cfc8be-a911-4bc6-b5be-dbfab46d3a56
Host: localhost:8080
Accept-Encoding: gzip, deflate, br
Content-Length: 246
Connection: keep-alive
grant_type=authorization_code&code=4%2FxgFPM8rkZXA1pWguPMHPKg8GS3BrI7whtmSq2U2K4_4Cy62m10y2l3IQp3KuiLRyaLaZWKCUiGJGEWVJ9K4zcTc&redirect_uri=http%3A%2F%2Flocalhost%3A3002&client_id=mission-control&client_secret=3cc09c80-••••-••••-••••-••••••••
HTTP/1.1 400
Connection: keep-alive
Cache-Control: no-store
Pragma: no-cache
Content-Type: application/json
Content-Length: 62
Date: Fri, 13 Mar 2020 08:36:02 GMT
{"error":"invalid_grant","error_description":"Code not valid"}

密钥斗篷日志显示此令牌格式错误：

keycloak_1  | 09:53:23,219 WARN  [org.keycloak.protocol.oidc.utils.OAuth2CodeParser] (default task-35) Invalid format of the code
keycloak_1  | 09:53:23,219 WARN  [org.keycloak.events] (default task-35) type=CODE_TO_TOKEN_ERROR, realmId=Test Realm, clientId=mission-control, userId=null, ipAddress=172.20.0.1, error=invalid_code, grant_type=authorization_code, client_auth_method=client-secret

为了检查Keyclope或Postman是否有错，我在Netcat的帮助下在CLI上执行了相同的步骤：

在CLI上，在netcat的帮助下，我可以成功地穿过流，我看到了不同的令牌格式：

>

在我的浏览器中打开这个http://localhost:8080/auth/realms/test-领域/协议/openid连接/身份验证？客户号=任务控制

我不知道邮递员OAuth流从响应体中获取“代码”的位置，它用于将代码发送到令牌交换endpoint。令牌的区别很明显，当手动遍历它时（相同的客户端，相同的令牌，相同的oAuth2服务器），代码会像这样松动：

3b9ac786-f9d1-40f9-b884-35e17b2fa756.70a3be09-8edf-47ed-9803-d08550a07faa.8794bba2-6f2b-4512-8bd7-6d5073852d1c

当使用Postman时，它会将其作为代码发送：

4/xgFPM8rkZXA1pWguPMHPKg8GS3BrI7whtmSq2U2K4_4Cy62m10y2l3IQp3KuiLRyaLaZWKCUiGJGEWVJ9K4zcTc

我该怎么做才能让邮递员接受回电？代码形成URL？

Answer 1

当callback_uri和令牌OAuth服务器终结点位于同一（localhost）域时，这是Postman中确认的错误。

• https://github.com/postmanlabs/postman-app-support/issues/7105

更新：此问题已于2020年9月修复。