oauth2 - authenticate_client和access_denied有什么区别

Question

我正在阅读oauth2 specs，但我对unauthorized_client和access_denied错误代码感到困惑。他们似乎表达了相同的错误情况，不是吗？乍一看(通过错误代码)，我认为一个是针对身份验证失败，另一个是针对授权失败，但实际上它们都是关于授权失败的，这会转换为http 403状态代码。

 unauthorized_client
       The client is not authorized to request an access token
       using this method.

 access_denied
       The resource owner or authorization server denied the
       request.

Answer 1

未经授权的客户端:
实际上，此错误可能会出现:

如果客户端请求不允许的范围

假设您要进行刷新 token 流，但是服务器上的客户端配置不允许这样做。

类似的用例，其中客户端尝试执行Authz服务器上的客户端配置所不允许的操作
现在，上面的问题出现了，原因是客户端出现了故障。

access_denied
如果您的客户还可以，则可能会发生这种情况，但是

资源所有者取消了OAuth流程(例如，当您某些客户访问Google时，就会出现一个同意页面，在此页面上，使用可以允许或拒绝访问)

如果资源服务器出于某种原因感到不应授予此客户端访问

如您所见，access_denied是由资源所有者或服务器引起的，而不是由客户端引起的

我希望这有帮助