如何在node-oidc-provider的id_token中添加自定义claims

核心问题分析 #

你当前的实现存在两个关键问题：

• 自定义Claims的数据被放在了meta字段中，node-oidc-provider不会自动从meta提取数据填充到ID Token
• 缺少Claims解析逻辑，没有告诉provider如何获取并返回这些自定义Claims的实际值

分步解决方案 #

1. 调整登录交互的结果存储 #

登录成功后，不要将twoFa相关数据放在meta里，而是直接关联到用户账户上下文（或后续从数据库查询）。修改登录处理函数的返回结果：

let result = {
  login: {
    accountId: user.id.toString(),
    // 将twoFa数据直接关联到账户会话
    twoFa: {
      twoFaEnabled: true,
      twoFaSuccess: false,
    },
  },
}

2. 配置Claims解析器 #

在oidc-provider的配置中，除了声明claims结构，必须添加claimsResolver来提供Claims的实际值。修改你的oidcConfiguration：

const oidcConfiguration = {
  claims: {
    openid: ['sub'],
    twoFa: ['twoFaEnabled', 'twoFaSuccess'],
  },
  // 新增Claims解析器
  claimsResolver: async (ctx, sub, claims, rejected) => {
    // 从会话中获取登录时存储的twoFa数据
    const twoFaData = ctx.session?.account?.twoFa;
    // 或从数据库查询用户的twoFa状态
    // const twoFaData = await getTwoFaStatus(sub);
    
    return {
      twoFaEnabled: twoFaData?.twoFaEnabled,
      twoFaSuccess: twoFaData?.twoFaSuccess,
    };
  },
  // 其他原有配置...
};

3. 确保客户端请求twoFa Scope #

客户端发起授权请求时，必须在scope参数中包含twoFa（例如scope=openid twoFa），否则provider不会将这些自定义Claims加入ID Token。

4. 验证Grant的Claims授权 #

在确认交互函数中，确保missingOIDCClaims被正确添加到grant，可增加日志确认：

if (details.missingOIDCClaims) {
  console.log('添加缺失的Claims:', details.missingOIDCClaims);
  grant.addOIDCClaims(details.missingOIDCClaims);
}

可选：通过自定义Account类提供Claims #

另一种更规范的方式是实现自定义Account类，在claims方法中直接返回所需字段：

class MyAccount extends oidc.Account {
  async claims(use, scope, claims, rejected) {
    const baseClaims = await super.claims(use, scope, claims, rejected);
    // 从数据库获取用户twoFa数据
    const twoFaData = await getTwoFaData(this.accountId);
    
    return {
      ...baseClaims,
      twoFaEnabled: twoFaData.twoFaEnabled,
      twoFaSuccess: twoFaData.twoFaSuccess,
    };
  }
}

// 在oidc配置中指定自定义Account类
const oidcConfiguration = {
  // ...其他配置
  Account: MyAccount,
};

验证结果 #

完成修改后重新发起授权流程，ID Token应包含twoFaEnabled和twoFaSuccess字段。若仍不生效，可检查：

• 客户端请求的scope是否包含twoFa
• Claims解析器/Account类的方法是否被正确调用（添加日志验证）
• Grant对象中是否已包含对应的Claims授权

内容的提问来源于stack exchange，提问作者Dennis