配置/oauth/token的基本身份验证

Question

我想使用Spring Cloud实现OAuth2的令牌刷新。

我可以使用以下有效负载通过向/oauth/token发送请求来创建令牌：

curl --location --request POST 'http://localhost:8080/engine/oauth/token' \
--header 'Authorization: Basic YWRtaW46cXdlcnR5' \
--form 'username=admin' \
--form 'password=qwerty' \
--form 'grant_type=password' \
--form 'scope=read'

但对于刷新令牌，则使用相同的路径/oauth/token。我还需要将用户名和密码发送到标题'authorization:Basic ywrtaw46cxdlcnr5'中，但我没有它们。我可以使用以下负载使用刷新令牌创建一个新令牌：

curl --location --request POST 'http://localhost:8080/engine/oauth/token' \
--header 'Authorization: Basic YWRtaW46cXdlcnR5' \
--form 'grant_type=refresh_token' \
--form 'scope=read' \
--form 'refresh_token=....'

Github代码

Answer 1

刷新令牌授予消息不需要授权标头。尝试删除它并将client_id作为表单参数发送。您可能还需要配置offline_access作用域以使令牌刷新工作。

我记得的最后一点是，ROPC不支持令牌刷新，尽管这种行为对所有提供程序可能都不一样。

最后，请注意，如果您有更好的选项，则不推荐使用ROPG。这篇文章总结了这些问题。