python - django-oauth2-提供者 : get the token without sending the client_secret

Question

我正在使用带有 rest-framework 的 django-oauth2-provider 在我的 API 中提供身份验证。我的移动应用程序将连接到我的 REST API 以检索一些数据。没有第三方应用程序会参与该过程。

根据 this ，此用例所需的授权类型将是密码授权。由于将 secret 存储在设备中是个坏主意，我需要在没有它的情况下访问 token 。

我尝试发送一个没有 secret 的请求:

curl -X POST -d "client_id=MY_CLIENT_ID&grant_type=password&username=user&password=pass" http://localhost:8000/oauth2/access_token/

但我得到的回应是:

{"error": "invalid_client"}

我的问题是是否可以使用 django-oauth2-provider 来做到这一点，以及如何去做。

Answer 1

1. 将Authorization Grant Type设置为Resource owner password-based
2. 将 WSGIPassAuthorization On 放在与 WSGIScriptAlias 相同的位置