客户凭证授权

客户端凭证授权是 OAuth 2.0 流程，但其中不涉及用户。后端服务使用客户端 ID 和密钥以自身身份向授权服务器进行身份验证，并接收代表该服务自身权限的访问令牌。这是机器代表自身调用 API 的标准方式。

工作原理

客户端向令牌端点发送 POST 请求，请求参数包括 grant_type=client_credentials、客户端凭据以及可选的权限范围。响应包含一个访问令牌及其有效期（以 expires_in 表示）。客户端缓存该令牌，并在 Authorization: Bearer 请求头中使用它，直到令牌即将过期，然后请求一个新的令牌——此流程中没有刷新令牌。

误解

在浏览器或移动应用中使用是安全的。该流程依赖于客户端保管其密钥，而任何发送到用户设备的信息都无法做到这一点。公共客户端则使用基于 PKCE 的授权码流程。

点击这里试试

使用授权类型 client_credentials、客户端 ID demo-client 和客户端密钥 demo-secret 向/auth/v1/oauth/token发送 POST 请求，返回一个 15 秒后过期的令牌。将此令牌用于 GET /auth/v1/oauth/protected-resource ，并通过变量捕获该令牌，从而将这两个请求链接起来。

相关内容

• OAuth 2.0
• What a bearer token is

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• Bearer 令牌 — 一种凭证，持有者即可获得访问权限——谁持有它就可以使用它。
• JWT（JSON Web Token） — 以签名 JWS 或加密 JWE 形式表示声明的紧凑格式。
• JWKS — JSON Web 密钥集——发行者发布的公钥，以便任何人都可以验证其签名的代币。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日