访问令牌实现的spring security openid连接请求不符合cas api要求

Question

我正在通过授权代码流的 openid 连接将 Spring Security 与 CAS 集成。根据openid连接协议，有以下步骤：

1. ....
2. 浏览器从 OpenID Provider 获取身份验证和代码
3. 浏览器将代码发送给客户端
4. 客户端向 OpenID 提供者发出令牌请求以获取访问令牌。
5. ....

问题发生在第 4 步。Spring Security 发出请求并将 grant_type、代码信息放入正文而不是 url。但 CAS 要求将代码信息放入 url。 [CAS API for Authorization Code]

有没有人遇到过这种情况？任何建议表示赞赏

Answer 1

您可以在初始身份验证请求期间使用 response_mode 参数控制将代码传递给客户端的方式。

它指定了用于将生成的授权代码发送回您的应用程序的方法。可以是 form_post 或 fragment。对于 Web 应用程序，我们建议使用 response_mode=form_post，以确保最安全地将令牌传输到您的应用程序。