简体中文
探索 OIDC 授权：理解和排查 "invalid_grant" 错误
学习 OpenID Connect（OIDC）授权的基本要素，并了解如何排查 "invalid_grant" 错误。
Charles
Developer
Developer
学习 OpenID Connect（OIDC）授权的基本要素，并了解如何排查 "invalid_grant" 错误。
在我们的社区中，我们经常听到用户反复提出的一个问题： Logto 中的 "invalid_grant" 错误是怎么回事？ 如 #503
这是我们的一些用户在将 Logto 集成到他们自己的应用程序时经常遇到的一个问题和阻碍。然而，这个错误背后的原因因情况而异，有时候在提供的上下文有限的情况下很难解释。因此，理解 OIDC 的确切概念并学习如何排查问题对每个人来说都是必要的。
现在让我们深入了解 OIDC 授权的基本概念。
如我们在之前的 博客文章 中介绍的，OpenID Connect (OIDC) 是建立在 OAuth 2.0 上的协议。
在 OIDC 或 OAuth2 的上下文中，授权 是资源所有者（通常是用户）给予客户端应用的一组权限。授权对于客户端应用来访问用户的身份信息和其他受保护的资源是必要的。OIDC 定义了几种授权类型，每种都适合不同的场景，以及应用获取访问令牌的方式。
以下是一个类比，帮助你更好地理解 OIDC 授权。
设想你正在不同的国家旅行，每个国家都要求入境签证章。在这种情况下，你的护照作为你的用户帐户，包含你的个人信息。OIDC 授权就像是你申请入境签证的方式。当你被发给签证时，你基本上获得了进入该国的 "令牌"。
同样，当你使用一个应用程序时，授权请求是你请求授权服务器给你访问权限的行动。授权服务器验证你的身份，并向你发放 "签证" （访问令牌），以登录到应用程序。
在 Logto 中，授权是以对象实体的形式持久化在数据库中的，包含了诸如用户帐户 ID，应用 ID，与 OIDC 资源和范围相关的信息，过期时间等等。每个刷新令牌和访问令牌都与一个特定的授权对象相关联。
如果你想通过从应用程序发送授权请求到 OIDC 令牌的 HTTP 请求。各种目的，包括为一个新的授权申请（比如登录并获取刷新和访问令牌），更新授权细节（例如，用一个刷新令牌换取一个新的访问令牌），或者撤销一个授权（例如，撤销发给已登录用户的所有令牌并终止他们的访问）。
一个典型的授权码授权请求如下所示：
在 OIDC 中遇到 invalid_grant 错误通常表示授权类型或与授权请求相关的数据无效或不受支持。以下是这个错误背后的一些常见原因：
invalid_grant 错误。请确保通过使用 Logto SDK 来使用适当的授权类型。invalid_grant 错误。invalid_grant 错误。invalid_grant 错误就会发生。此外，为了提高安全性，Logto 默认启用了 刷新令牌旋转。用同一个刷新令牌第二次请求令牌端点被视为使用了 "旋转" 的刷新令牌，将被拒绝。一些有效排查 "invalid_grant" 错误的技巧：
invalid_grant 错误，你应该通过再次初始化用户登录流程来正确处理它。如果你使用 Logto SDK，你可以再次调用signIn()函数，将用户重新定向回登录页面。invalid_grant 错误后面的堆栈跟踪中有一个更具体的原因，比如 "未找到授权" 或 "刷新令牌过期"。invalid_grant 错误对初学者来说可能是具有挑战性和混淆性的，但是通过对 OIDC 授权的清晰理解和对细节的关注，你可以自己找出和解决问题。加入我们在 Discord 或 GitHub 的讨论，如果这篇博客有帮助你澄清混淆和找出你正在面临的问题，请告诉我们。Logto 开发团队始终乐于协助您。
让我们一起为你深爱的应用程序构建一个无缝且安全的身份验证体验。