为 /oauth/token 配置基本身份验证

Question

我想使用 Spring Cloud 为 OAuth2 实现令牌刷新。

我可以通过使用此有效负载向/oauth/token 发送请求来创建令牌：

curl --location --request POST 'http://localhost:8080/engine/oauth/token' \
--header 'Authorization: Basic YWRtaW46cXdlcnR5' \
--form 'username=admin' \
--form 'password=qwerty' \
--form 'grant_type=password' \
--form 'scope=read'

但对于刷新令牌，使用相同的路径 /oauth/token。我还需要将用户名和密码发送到标题'Authorization: Basic YWRtaW46cXdlcnR5'我没有它们。我可以使用带有此有效负载的刷新令牌创建一个新令牌：

curl --location --request POST 'http://localhost:8080/engine/oauth/token' \
--header 'Authorization: Basic YWRtaW46cXdlcnR5' \
--form 'grant_type=refresh_token' \
--form 'scope=read' \
--form 'refresh_token=....'

你知道如何解决这个问题吗？

Github code

Answer 1

刷新令牌授予消息不需要授权标头。尝试删除它并将 client_id 作为表单参数发送。您可能还需要配置 offline_access 范围以使令牌刷新工作。

我记得的最后一点是，ROPC 不应该支持令牌刷新，尽管对于所有提供者来说，这种行为可能并不相同。

最后，请注意，如果您有更好的选择，ROPG 并不真正推荐。 This post 总结问题。

如果您能总结一下您的使用场景，我或许可以推荐一个更好的替代方案。