使用 GM_xmlhttpRequest 交换访问令牌的 Quire 授权代码

这可能是一个愚蠢的问题，我已尝试遵循quire-api-博客 https://quire.io/blog/p/Create-Your-Quire-App-with-Quire-API.html但我仍然无法从 Tampermonkey javascript 用户脚本获取令牌。

GM_xmlhttpRequest 的仅供参考语法可在https://www.tampermonkey.net/documentation.php?ext=dhdg#GM_xmlhttpRequest https://www.tampermonkey.net/documentation.php?ext=dhdg#GM_xmlhttpRequest

我正在使用以下代码：

GM_xmlhttpRequest({
    method: "POST",
    url: "https://quire.io/oauth/token",
    data: JSON.stringify({
              grant_type: "authorization_code",
              code: "xxx",
              client_id: ":yyy",
              client_secret: "zzz"
          }),
    onload: function(r){
        console.log(r);
    }
});

这将在控制台中返回以下对象：

finalUrl: "https://quire.io/oauth/token"
​
readyState: 4
​
response: 
​
responseHeaders: "content-encoding: gzip\r\ncontent-type: text/plain; charset=utf-8\r\ndate: Sun, 13 Oct 2019 09:04:26 GMT\r\nserver: nginx/1.17.3\r\nset-cookie: DARTSESSID=7d20dcf1f0eae6ce0f69d9fe615e9ce5; Path=/; HttpOnly\r\nx-content-type-options: nosniff\r\nx-firefox-spdy: h2\r\nx-frame-options: SAMEORIGIN\r\nx-xss-protection: 1; mode=block\r\n"
​
responseText: 
​
responseXML: 
​
status: 400
​
statusText: "Bad Request"

知道出了什么问题吗？

预先感谢您的友好答复。

Rafaël

你需要小心content-type您的要求。不同的 XHR API 使用不同的默认值。

The 访问令牌请求的 OAUTH2 规范 https://www.rfc-editor.org/rfc/rfc6749#section-4.1.3将 Content-Type 描述为application/x-www-form-urlencoded.

虽然 GreaseMonkey 默认使用 JSON 发送请求，但可以通过设置来更改内容类型 https://wiki.greasespot.net/GM.xmlHttpRequest#POST_request标头并使用“x-www-form-urlencoded”将数据编码为字符串

GM.xmlHttpRequest({
  method: "POST",
  url: "https://quire.io/oauth/token",
  data: "grant_type=authorization_code&code=xxx&client_id=yyy&client_secret=zzz",
  headers: {
    "Content-Type": "application/x-www-form-urlencoded"
  },

jquery.ajax() https://api.jquery.com/JQuery.ajax/这会自动将默认内容类型设置为 application/x-www-form-urlencoded

重要附注：您对 $.ajax() 的使用表明了在浏览器中的使用情况。如果这是真的那就不要这样做！将您的 client_secret 暴露给浏览器内运行的应用程序将允许任何人以您的查询身份进行身份验证并使用grant_type: client_authentication。截至目前，Quire API 要求您运行专用服务器，您必须从中执行访问令牌请求，以避免暴露client_secret。如果您在服务器端使用 jquery，那么就可以了。

有开放的Issue#8 https://github.com/quire-api/quire-api/issues/8还支持客户端授权代码流，而不使用 client_secret（适合来自 SPA 或浏览器扩展）。