空手道 API 测试 - Bearer error="invalid_token", error_description="观众<number>是无效的”</number>

Question

Postman 标头我正在使用密钥生成一个访问令牌，我将使用该令牌对我调用的 API 进行身份验证。 问题是我收到错误：

状态代码为：401，预期：200 WWW-Authenticate: Bearer error="invalid_token", error_description="The audience value is invalid"

这就是我如何调用 API

Given url `https://login.microsoftonline.com/tenant_id/oauth2/token`
And form field grant_type = `client_credentials`
And form field client_id = `value`
And form field client_secret = `value`
When method post
Then status 200

match response.access_token != null

def access_token = response.access_token

print access_token

Given header Authorization = 'Bearer ' + access_token
Given url 'url'
And header accept = `plain/text`
And header 'X-Mimic-User' = `confidential`
When method GET
Then status 200

我期待使用生成的访问令牌对 API 进行身份验证。

Answer 1

所以看起来你的错误可能与Authorization header 有关，虽然错误描述很难破译，可能与 scope 有关？ 我会首先列出 URL，而不是 header，除非您正在重新使用它，并希望为后续请求configure该值。 另一种设置 Bearer 令牌的方法是：

And match response.access_token == '#present'

* def oauthToken = `Bearer ${response.access_token}`

但真正最重要的是检查您的请求，包括标头，并将其与 Karate 和 Postman 进行比较，看看有什么不同。

Answer 2

根据我在错误描述中看到的内容，对您的身份验证提供程序进行的第一个 API 调用返回一个带有访问令牌的200 。 但是您对应用程序服务器进行的第二次调用似乎无法在您的访问令牌中看到受众价值。

我怀疑您在 postman 和空手道设置中使用相同的客户端凭据输入（ client_id ， client_secret ）。 确保它们相同。

我还将通过在https://jwt.io或您信任的任何其他工具中检查接收到的访问令牌来确认是否具有aud参数来解码访问令牌 JWT。为了进行实验，对访问令牌执行相同的操作你也是从 postman 得到的。

理想情况下，这些配置对您的应用程序和身份团队来说非常内部，可能与空手道没有直接关系。 提到的其他团队应该是最能指导您的团队。