了解OAuth2客户端凭据流

Question

$ curl -X -v -d 'client_id=the_client&client_secret=secret&grant_type=client_credentials' -X POST "http://localhost:9090/oauth/token"

InsufficientAuthenticationException: There is no client authentication

@FrameworkEndpoint
@RequestMapping(value = "/oauth/token")
public class TokenEndpoint extends AbstractEndpoint {

    @RequestMapping
    public ResponseEntity<OAuth2AccessToken> getAccessToken(Principal principal,
            @RequestParam("grant_type") String grantType, @RequestParam Map<String, String> parameters) {

        if (!(principal instanceof Authentication)) {
            throw new InsufficientAuthenticationException(

看起来我可能对整个客户机凭据流或spring-security的应用程序有一些误解，因此非常感谢任何澄清。

Answer 1

您没有将客户端身份验证到授权服务器。

您需要这样做：

curl --user the_client:secret --data "grant_type=client_credentials" http://localhost:9090/oauth/token

这就是向授权服务器验证客户端，然后指定grant_type和其他参数。这将返回一个类型为'Bearer'的访问令牌，其范围由oauth客户端详细信息确定。获得令牌后，可以通过设置Authorization头访问受保护的资源：

curl -H "Authorization: Bearer <accessToken>" <resourceUrl>