OAuth 2.0 Beispiele: Token-Antwort und Fehler
OAuth 2.0 regelt, wie eine Anwendung im Auftrag einer Person auf Ressourcen zugreift, ohne deren Passwort zu kennen. Die Seite zeigt Antworten des Token-Endpunkts, Fehlerformate, eine Autorisierungs-URL mit PKCE und Anfragen für authorization_code, refresh_token und client_credentials. Token und Codes sind Platzhalter, Hosts liegen auf der reservierten Domain example.com.
10 Varianten auf einer Seite, jede mit eigenem Kopier- oder Download-Knopf. Darunter: 4× Fiktiv, 3× Reservierter Bereich, 1× Absichtlich ungültig, 2× Öffentliches Beispiel.
OAuth-Token-Antwort (JSON, Platzhalter)Fiktiv
{ "access_token": "XXXXXXXXXXXXXXXXXXXXXXXX", "token_type": "Bearer", …Antwort des Token-Endpunkts (RFC 6749, 5.1); Tokens sind Platzhalter.
OAuth-Fehlerantwort invalid_grantFiktiv
{ "error": "invalid_grant", "error_description": "Der Autorisierungscode ist abgelaufen." …Fehlerformat nach RFC 6749, 5.2; Antwort mit HTTP 400.
OAuth-Fehlerantwort invalid_clientFiktiv
{ "error": "invalid_client" }Client-Authentifizierung fehlgeschlagen (RFC 6749, 5.2).
OAuth-Fehler im Redirect: access_deniedReservierter Bereich
https://example.com/callback?error=access_denied&state=XXXXXXXXXXXXXXXX
Der Nutzer hat die Freigabe abgelehnt; state muss zurückgegeben werden.
Token-Anfrage (authorization_code), Formular-BodyReservierter Bereich
grant_type=authorization_code&code=XXXXXXXXXXXXXXXX&redirect_uri=https%3A%2F%2Fexample.com%2Fcallback&client_id=beispiel-client&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
Body mit Content-Type application/x-www-form-urlencoded; Code ist ein Platzhalter.
Token-Anfrage (refresh_token), Formular-BodyAbsichtlich ungültig
grant_type=refresh_token&refresh_token=XXXXXXXXXXXXXXXXXXXXXXXX&client_id=beispiel-client
Aufruf zum Erneuern des Access-Tokens; Token ist Platzhalter.
Token-Anfrage (client_credentials), Formular-BodyFiktiv
grant_type=client_credentials&scope=lesen
Maschine-zu-Maschine-Flow; Client-ID und Secret kommen im Basic-Header.
OAuth-Device-Code-Antwort (RFC 8628, Platzhalter)Öffentliches Beispiel
{ "device_code": "XXXXXXXXXXXXXXXXXXXXXXXX", "user_code": "WDJB-MJHT", …Format nach RFC 8628; der Code WDJB-MJHT stammt aus dem Beispiel der RFC.
OAuth-Scopes, OIDC-StandardÖffentliches Beispiel
openid profile email address phone offline_access
Standard-Scopes von OpenID Connect Core.