未为密码 grant_type 调用 WSO2 自定义声明处理程序

【问题标题】：WSO2 Custom claim handler not being called for password grant_type未为密码 grant_type 调用 WSO2 自定义声明处理程序
【发布时间】：2018-09-16 18:31:33
【问题描述】：

我一直使用 WSO2IS 作为 OIDC 提供商。我已经实现了一个自定义声明处理程序，它工作正常，并且在 WSO2 接收到 grant_type“Authorization_code”时被调用。当服务提供商使用grant_type=password 发送请求时，问题就开始了。在这种情况下，WSO2 成功验证了用户并返回了 JWT，但是......没有自定义声明，因为 WSO2 没有调用自定义声明处理程序。

这是我在文件<IS_HOME>/repository/conf/identity/application-authentication.xml 中为grant_type=authorization_code 调用的自定义声明处理程序所做的配置。 

<ClaimHandler>com.wso2.carbon.identity.custom.claim.handler.CustomClaimHandler</ClaimHandler>

这是来自 WSO2 的调试日志：

TID：[-1234] [] [2018-04-06 11:34:38,199] 调试 {org.wso2.carbon.identity.auth.service.handler.HandlerManager} - 为 org.wso2.carbon.identity.auth.service.handler.HandlerManager TID： [-1234] [] [2018-04-06 11:34:38,200] 调试 {org.wso2.carbon.identity.auth.service.handler.HandlerManager} - 获取 给定处理程序列表的第一优先级处理程序。 TID：[-1234] [] [2018-04-06 11:34:38,200] 调试 {org.wso2.carbon.identity.auth.service.handler.HandlerManager} - 获取 第一优先级处理程序： DefaultAuthenticationManager(org.wso2.carbon.identity.auth.service.AuthenticationManager) TID：[-1234] [] [2018-04-06 11:34:38,205] 调试 {org.wso2.carbon.identity.oauth2.OAuth2Service} - 访问令牌 收到客户端 ID EjQvbCf0pclp6eVO5lxTq23_lxQa 的请求，用户 ID userldap, Scope : [ openid, email] 和 Grant Type : 密码 TID: [-1234] [] [2018-04-06 11:34:38,205] 调试 {org.wso2.carbon.identity.oauth2.token.handlers.clientauth.Abs​​tractClientAuthHandler} - 可以使用客户端 ID 和 Secret 进行身份验证。客户端 ID：EjQvbCf0pclp6eVO5lxTq23_lxQa TID：[-1234] [] [2018-04-06 11:34:38,205] 调试 {org.wso2.carbon.identity.oauth2.token.handlers.clientauth.Abs​​tractClientAuthHandler} - 授权类型：密码严格客户端验证设置为：空 TID：[-1234] [] [2018-04-06 11:34:38,206] DEBUG {org.wso2.carbon.identity.oauth2.util.OAuth2Util} - 客户端 凭据是从数据库中获取的。 TID：[-1234] [] [2018-04-06 11:34:38,206] 调试 {org.wso2.carbon.identity.oauth2.util.OAuth2Util} - 成功 使用客户端 ID 对客户端进行身份验证：EjQvbCf0pclp6eVO5lxTq23_lxQa TID：[-1234] [] [2018-04-06 11:34:38,207] 调试 {org.wso2.carbon.identity.oauth2.token.AccessTokenIssuer} - Oauth 应用 消费者密钥验证成功：EjQvbCf0pclp6eVO5lxTq23_lxQa TID：[-1234] [] [2018-04-06 11:34:38,209] 调试 {org.wso2.carbon.identity.governance.listener.IdentityMgtEventListener} - 在 IdentityMgtEventListener TID 中调用预验证器：[-1234] [] [2018-04-06 11:34:38,210] DEBUG {org.wso2.carbon.identity.claim.metadata.mgt.dao.CacheBackedLocalClaimDAO} - 租户本地声明列表的缓存命中：-1234 TID：[-1234] [] [2018-04-06 11:34:38,210] 调试 {org.wso2.carbon.identity.claim.metadata.mgt.DefaultClaimMetadataStore} - 分配的映射属性：来自用户存储域的引用：主要用于声明：http://wso2.org/claims/identity/accountDisabled 在租户中 ：-1234 TID：[-1234] [] [2018-04-06 11:34:38,215] 调试 {org.wso2.carbon.identity.claim.metadata.mgt.dao.CacheBackedLocalClaimDAO} - 租户本地声明列表的缓存命中：-1234 TID：[-1234] [] [2018-04-06 11:34:38,215] 调试 {org.wso2.carbon.identity.governance.listener.IdentityMgtEventListener} - 在 IdentityMgtEventListener TID 中调用发布获取用户声明值：[-1234] [] [2018-04-06 11:34:38,215] DEBUG {org.wso2.carbon.identity.core.util.IdentityUtil} - 出错时 读取用户存储属性 CaseInsensitiveUsername。考虑为 区分大小写。 TID：[-1234] [] [2018-04-06 11:34:38,215] 调试 {org.wso2.carbon.identity.governance.store.InMemoryIdentityDataStore} - 从缓存中为用户加载 UserIdentityClaimsDO：userldap 声明：{} TID：[-1234] [] [2018-04-06 11:34:38,215] 调试 {org.wso2.carbon.identity.recovery.handler.AdminForcedPasswordResetHandler} - 处理事件：PRE_AUTHENTICATION TID：[-1234] [] [2018-04-06 11:34:38,215] DEBUG {org.wso2.carbon.identity.recovery.handler.AdminForcedPasswordResetHandler} - PreAuthenticate - AdminForcedPasswordResetHandler 用户：userldap@carbon.super TID：[-1234] [] [2018-04-06 11:34:38,215] 调试 {org.wso2.carbon.identity.core.util.IdentityUtil} - 出错时 读取用户存储属性 CaseInsensitiveUsername。考虑为 区分大小写。 TID：[-1234] [] [2018-04-06 11:34:38,216] 调试 {org.wso2.carbon.identity.recovery.handler.AccountConfirmationValidationHandler} - 预验证 TID：[-1234] [] [2018-04-06 11:34:38,216] 调试 {org.wso2.carbon.identity.claim.metadata.mgt.dao.CacheBackedLocalClaimDAO} - 缓存命中租户的本地声明列表：-1234 TID：[-1234] [] [2018-04-06 11:34:38,217] 调试 {org.wso2.carbon.identity.claim.metadata.mgt.DefaultClaimMetadataStore} - 分配的映射属性：来自用户存储域的 accountLock：主要用于声明：http://wso2.org/claims/identity/accountLocked in 租户：-1234 TID：[-1234] [] [2018-04-06 11:34:38,218] 调试 {org.wso2.carbon.identity.claim.metadata.mgt.dao.CacheBackedLocalClaimDAO} - 缓存命中租户的本地声明列表：-1234 TID：[-1234] [] [2018-04-06 11:34:38,218] 调试 {org.wso2.carbon.identity.governance.listener.IdentityMgtEventListener} - 在 IdentityMgtEventListener TID 中调用发布获取用户声明值：[-1234] [] [2018-04-06 11:34:38,218] 调试 {org.wso2.carbon.identity.core.util.IdentityUtil} - 出错时 读取用户存储属性 CaseInsensitiveUsername。考虑为 区分大小写。 TID：[-1234] [] [2018-04-06 11:34:38,218] 调试 {org.wso2.carbon.identity.governance.store.InMemoryIdentityDataStore} - 从缓存中为用户加载 UserIdentityClaimsDO：userldap 声明：{} TID：[-1234] [] [2018-04-06 11:34:38,218] 调试 {org.wso2.carbon.identity.application.common.processors.RandomPasswordProcessor} - 找不到随机密码容器 TID 的缓存密钥：[-1234] [] [2018-04-06 11:34:38,222] 调试 {org.wso2.carbon.identity.governance.listener.IdentityMgtEventListener} - 在 IdentityMgtEventListener TID 中调用后验证器：[-1234] [] [2018-04-06 11:34:38,222] DEBUG {org.wso2.carbon.identity.application.common.processors.RandomPasswordProcessor} - 找不到随机密码容器 TID 的缓存密钥：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.application.common.processors.RandomPasswordProcessor} - 找不到随机密码容器 TID 的缓存密钥：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.oauth2.token.handlers.grant.PasswordGrantHandler} - 收到带有密码授予类型的令牌请求。用户名：userldap@carbon.superScope：电子邮件 openid，身份验证状态： 真实 TID：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.oauth.callback.OAuthCallbackHandlerRegistry} - 为回调找到 OAuthCallbackHandler。类名：org.wso2.carbon.identity.oauth.callback.DefaultCallbackHandler 资源所有者：userldap@carbon.super 客户 ID： EjQvbCf0pclp6eVO5lxTq23_lxQa 范围：电子邮件 openid TID：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.oauth.callback.OAuthCallbackHandlerRegistry} - 为回调找到 OAuthCallbackHandler。类名：org.wso2.carbon.identity.oauth.callback.DefaultCallbackHandler 资源所有者：userldap@carbon.super 客户 ID： EjQvbCf0pclp6eVO5lxTq23_lxQa 范围：电子邮件 openid TID：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.oauth2.util.OAuth2Util} - 添加 OAuthTokenReqMessageContext 到线程本地 TID：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.core.util.IdentityUtil} - 出错时 读取用户存储属性 CaseInsensitiveUsername。考虑为 区分大小写。 TID：[-1234] [] [2018-04-06 11:34:38,223] 调试 {org.wso2.carbon.identity.oauth2.util.OAuth2Util} - SP 明智的令牌 到期时间功能适用于租户 ID：-1234 和消费者密钥： EjQvbCf0pclp6eVO5lxTq23_lxQa TID：[-1234] [] [2018-04-06 11:34:38,224] 调试 {org.wso2.carbon.identity.oauth2.token.handlers.grant.AbstractAuthorizationGrantHandler} - 为应用程序启用服务提供商特定的到期时间：EjQvbCf0pclp6eVO5lxTq23_lxQa。应用程序访问令牌到期时间： null，用户访问令牌到期时间：null，刷新令牌到期时间 ：空 TID：[-1234] [] [2018-04-06 11:34:38,224] 调试 {org.wso2.carbon.identity.oauth2.token.handlers.grant.AbstractAuthorizationGrantHandler} - OAuth 应用程序 ID：EjQvbCf0pclp6eVO5lxTq23_lxQa，访问令牌有效时间（以毫秒为单位）：3600000 TID：[-1234] [] [2018-04-06 11:34:38,224] 调试 {org.wso2.carbon.identity.core.util.IdentityUtil} - 读取用户存储属性 CaseInsensitiveUsername 时出错。考虑区分大小写。 TID: [-1234] [] [2018-04-06 11:34:38,230] 调试 {org.wso2.carbon.identity.oauth2.token.handlers.grant.AbstractAuthorizationGrantHandler} - 无限期访问令牌 e88de89f-70d4-33d5-b447-5cd0135fd682 在缓存 TID 中找到：[-1234] [] [2018-04-06 11:34:38,230] 调试 {org.wso2.carbon.identity.oauth2.util.OAuth2Util} - 清除 OAuthTokenReqMessageContext TID：[-1234] [] [2018-04-06 11:34:38,230] 调试 {org.wso2.carbon.identity.oauth2.token.AccessTokenIssuer} - 颁发给客户端 ID 的访问令牌：EjQvbCf0pclp6eVO5lxTq23_lxQa 用户名：userldap@carbon.super 和范围：电子邮件 openid TID： [-1234] [] [2018-04-06 11:34:38,230] 调试 {org.wso2.carbon.identity.oauth2.token.AccessTokenIssuer} - 发行 客户端的 ID 令牌：EjQvbCf0pclp6eVO5lxTq23_lxQa TID：[-1234] [] [2018-04-06 11:34:38,230] 调试 {org.wso2.carbon.identity.application.common.processors.RandomPasswordProcessor} - 找不到随机密码容器 TID 的缓存密钥：[-1234] [] [2018-04-06 11:34:38,232] 调试 {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 加载AdministradorOmnicanalidad TID的基本应用数据：[-1234] [] [2018-04-06 11:34:38,232] DEBUG {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - ApplicationID: 21 ApplicationName: AdministradorOmnicanalidad UserName: userldap TenantDomain: carbon.super TID: [-1234] [] [2018-04-06 11:34:38,232] 调试 {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的客户端：[-1234] [] [2018-04-06 11:34:38,233] DEBUG {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的步骤：[-1234] [] [2018-04-06 11:34:38,236] DEBUG {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的声明映射：[-1234] [] [2018-04-06 11:34:38,237] 调试 {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的角色映射：[-1234] [] [2018-04-06 11:34:38,241] DEBUG {org.wso2.carbon.identity.core.util.IdentityUtil} - 读取用户存储属性 CaseInsensitiveUsername 时出错。考虑区分大小写。 TID: [-1234] [] [2018-04-06 11:34:38,241] 调试 {org.wso2.carbon.identity.oauth2.dao.TokenMgtDAO} - 检索 tokenId 的访问令牌：e88de89f-70d4-33d5-b447-5cd0135fd682 带有标志 includeExpired: false TID：[-1234] [] [2018-04-06 11:34:38,244] 调试 {org.wso2.carbon.identity.openidconnect.DefaultIDTokenBuilder} - 使用 issuer https://localhost:9445/oauth2/token Subject userldap ID 令牌生命周期 3600 当前时间 1523032478 Nonce 值 null 签名算法 RS256 TID：[-1234] [] [2018-04-06 11:34:38,244] 调试 {org.wso2.carbon.identity.openidconnect.SAMLAssertionClaimsCallback} - 将用户 userldap@carbon.super 的声明添加到 id 令牌。时间： [-1234] [] [2018-04-06 11:34:38,247] 调试 {org.wso2.carbon.identity.openidconnect.SAMLAssertionClaimsCallback} - 在缓存中找不到用户属性。试图检索属性 用户 userldap@carbon.super TID：[-1234] [] [2018-04-06 11:34:38,249] 调试 {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 加载AdministradorOmnicanalidad TID的基本应用数据：[-1234] [] [2018-04-06 11:34:38,251] DEBUG {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - ApplicationID: 21 ApplicationName: AdministradorOmnicanalidad UserName: userldap TenantDomain: carbon.super TID: [-1234] [] [2018-04-06 11:34:38,251] 调试 {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的客户端：[-1234] [] [2018-04-06 11:34:38,251] DEBUG {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的步骤：[-1234] [] [2018-04-06 11:34:38,255] DEBUG {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序 21 TID 的声明映射：[-1234] [] [2018-04-06 11:34:38,256] 调试 {org.wso2.carbon.identity.application.mgt.dao.impl.ApplicationDAOImpl} - 读取应用程序的角色映射21

如果有人能指出我错过了什么，或者我还能尝试什么，那将是一个很大的帮助。

谢谢。

【问题讨论】：

    标签： wso2 wso2is


    【解决方案1】：

    声明处理程序作为身份验证框架中身份验证过程的一部分参与，该框架位于身份服务器中。

    当您使用授权授权类型时，用户身份验证是通过身份验证框架处理的。这也意味着将使用自定义声明处理程序添加/修改的任何声明。

    但是，当您使用密码授予类型时，用户身份验证和声明检索会通过用户所在的相应用户存储进行。由于此身份验证不会通过身份验证框架进行，因此您的自定义声明处理程序将不会被使用。

    【讨论】：

    • 很高兴知道这是预期的行为。但是我该如何处理需要调用第三方服务来获得索赔的情况呢？
    • 您可以使用 github.com/mefarazath/OIDCCustomClaimHandler 之类的扩展名将自定义声明填充到 id_token 中
    • 嗨@farasath，在密码授予或请求路径身份验证器的情况下，我需要调用自定义身份验证器和自定义声明处理程序。我怎样才能做到这一点？
    【解决方案2】：

    是否有任何具体原因为 OIDC 编写自定义声明处理程序？

    如果您想通过 OIDC 获得自定义声明，您可以按照以下步骤操作。

    1. 转到管理控制台->声明->添加->添加外部声明->选择方言 URI 作为http://wso2.org/oidc/claim，将您的自定义声明 URI 作为外部声明 URI，映射适当的本地声明。

    2. 在OIDC方言下成功添加自定义声明后，您必须在openid范围下的注册表中提及新添加的自定义声明URI。路径如下。 Registry->Browse->/_system/config/oidc 然后点击属性的添加按钮。在那里你可以看到范围值。

    【讨论】：

    • 是的。我需要调用第三方服务来获得一些索赔。
    猜你喜欢
    • 2022-01-07
    • 2022-10-19
    • 1970-01-01
    • 1970-01-01
    • 2019-10-03
    • 2020-09-18
    • 1970-01-01
    • 1970-01-01
    • 2019-03-05
    相关资源
    最近更新 更多
    热门标签
    Java Python linux javascript Mysql C# Docker 算法 前端 SpringBoot Redis Vue spring 设计模式 .net core .net kubernetes c++ 数据库 数据结构 大数据 js 机器学习 微服务 Android Go 程序员 面试 JVM ASP.net core 云原生 人工智能 后端 PHP git CSS golang k8s Nginx Django mybatis 深度学习 多线程 React 架构 devops 爬虫 云计算 Spring Boot LeetCode