學習 OpenID Connect (OIDC) 授權的基本知識，以及如何排查 "invalid_grant" 錯誤。
在我們的社群中，我們經常聽到用戶重複提出的一個問題：Logto 中的 "invalid_grant" 錯誤是怎麼回事？ 像是 #503
這是一個普遍的挑戰，並且在某些用戶將 Logto 整合到自己的應用程式時成為一個阻礙。然而，這個錯誤的原因在每個案例中都不一樣，有時很難在有限的上下文中解釋。因此，了解精確的 OIDC 概念以及學會如何排查這個問題，對每個人來說都是至關重要的。
現在讓我們深入了解 OIDC 授權的基本知識。
如我們在早前的 部落格文章 中所介紹的， OpenID Connect (OIDC) 是建立在 OAuth 2.0 之上的一個協議。
在 OIDC 或 OAuth2 的上下文中， 授權 是使用者（通常是資源擁有者）授予客戶端應用程式的一組權限。授權對於客戶端應用程式訪問用戶的身份信息和其他受保護資源是必須的。OIDC 定義了幾種授權類型，各自適合於不同的場景以及應用程式獲取存取憑證的方式。
這裡有一個類比來幫助你更好地理解 OIDC 授權。
想像你在不同國家旅行，每個國家都要求入境簽證印章。在這個場景中，你的護照就像是你的用戶賬戶，包含你的個人信息。OIDC 授權就像你申請入境簽證的方式。當你獲得簽證時，你實際上就是獲得了進入該國家的 "token"。
同樣地，使用應用程式時，授權請求就是你向授權伺服器請求授予你訪問許可的行為。授權伺服器驗證你的身份，並向你授予 "簽證"（存取憑證）以登錄到應用程式。
在 Logto 中，授權在資料庫中作為對象實體保存，包含用戶賬戶 ID 、應用程式 ID 、相關 OIDC 資源和作用域、過期時間等資訊。每個刷新憑證和存取憑證都關聯到一個特定的授權對象。
通過 API 向授權伺服器發送的 HTTP 請求。客戶端應用程式可以向 OIDC 憑證端點發送授權請求，用於各種目的，包括申請新授權（如登錄並獲取刷新和存取憑證）、更新授權詳情（如交換刷新憑證以獲取新存取憑證）、或撤銷授權（如撤銷發放給已登錄用戶的所有憑證並終止其訪問）。
一個典型的授權碼授權請求如下：
在 OIDC 中遇到 invalid_grant 錯誤通常表示授權類型或授權請求的相關資料無效或不受支持。這裡有一些此錯誤的常見原因：
invalid_grant 錯誤。確保通過 Logto SDK 使用適當的授權類型。invalid_grant 錯誤。invalid_grant 錯誤。invalid_grant 錯誤。更為，加強安全性，Logto 默認啟用 刷新憑證旋轉。第二次用同一刷新憑證請求憑證端點，便是使用 "旋轉" 的刷新憑證，將被拒絕。以下是一些有效排查 "invalid_grant" 錯誤的提示：
invalid_grant 錯誤，你應該正確地處理它，通過重新初始化用戶登錄流程。如果使用 Logto SDK ，可以再次呼叫 signIn() 函數讓用戶重定向至登錄頁面。invalid_grant 錯誤的更具體原因，如 "授權未找到" 或 "刷新憑證過期"。invalid_grant 錯誤對初學者來說可能很具挑戰性和困惑，但只要對 OIDC 授權有清晰的理解並注意細節，就可以自己識別並解決該問題。在 Discord 或 GitHub 上加入我們的討論，告訴我們這篇部落格是否有助於釐清疑惑並確定你所面對的問題。Logto 開發團隊總是很樂意協助你。
讓我們一起為你心愛的應用程式建立一個無縫且安全的驗證體驗。