即使用户拒绝授予授权，使用 OpenID Connect 的 WSO2 身份服务器也会返回授权代码

Question

当我运行 playground2 openid connect 示例时，即使我拒绝授权，我仍然可以看到照片。我让用户登录并成功验证，但拒绝授权。从 OpenID Connect 规范中，应该返回一个错误代码，但我仍然得到授权代码。我正在运行 WSO2 身份服务器 4.6。

为什么还在发送授权令牌？

Answer 1

在 Playground 应用中禁用了访问令牌的验证。您可以通过取消注释 'oauth-access-resource.jsp 中的第 34-40 行来启用它。

  if (!client.validateAuthenticationRequest(oauthReq)) {
    %>
    <script type="text/javascript">
       window.location = "oauth2.jsp?reset=true&error='Invalid Access Attempt'";
    </script>
    <%
  }