WSO2 Identity Server 6.1.0声明映射失效 原5.11.0SAML2-OAuth2配置失效

1. 核对声明映射的配置层级 #

WSO2 IS 6.1.0对声明映射的作用域做了更明确的划分，需确认配置位置是否正确：

• 若在服务提供者侧配置OIDC声明映射：进入服务提供者的Claim Configuration->Claim Mapping，确保SAML断言中的属性（如http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress）已正确映射到对应OIDC声明（如email），且映射规则的"Local Claim URI"与SAML断言属性一致。
• 若在身份提供商侧配置入站声明映射：需验证映射后的属性名称能被服务提供者识别，比如将SAML断言属性映射为本地用户存储的标准属性（如http://wso2.org/claims/email），再通过服务提供者映射到OIDC声明。

2. 验证SAML断言属性的解析逻辑 #

升级后SAML属性提取规则可能有变化，可通过日志排查：

• 开启org.wso2.carbon.identity.sso.saml和org.wso2.carbon.identity.oauth2的DEBUG日志，查看SAML断言中的属性是否被正确读取。
• 检查属性名称的大小写一致性，6.1.0对属性名称大小写更敏感，比如断言中的Email与配置里的email会被视为不同属性。

3. 确认SAML2 Bearer Grant的配置有效性 #

6.1.0中该授权类型的处理逻辑有更新，需检查：

• 服务提供者的Inbound Authentication Configuration->OAuth/OpenID Connect Configuration中，是否已勾选saml2-bearer授权类型。
• 核对身份提供商的ACS URL配置，升级后元数据可能更新，若ACS URL不匹配会导致属性传递中断。

4. 检查声明方言的映射链 #

6.1.0对声明方言的处理更严格，需确保映射链完整：

• 在Claim Management中，OIDC方言（http://wso2.org/oidc/claim）下的声明需先映射到本地方言（如http://wso2.org/claims）的属性，再与SAML断言属性对应。避免直接将SAML断言属性映射到OIDC声明，除非明确配置了跨方言直接映射。

5. 分步测试属性传递链路 #

通过以下步骤定位失效环节：

1. 确认身份提供商返回的SAML断言中包含目标属性。
2. 在WSO2 IS的用户管理界面，查看联邦用户的属性是否同步正确（若启用属性同步）。
3. 调用/oauth2/userinfo端点，检查返回的OIDC声明是否包含预期属性，以此判断是映射环节还是令牌生成环节出问题。

6. 排查升级后的配置文件差异 #

即使手动配置一致，升级过程中默认配置可能变化：

• 对比5.11.0与6.1.0版本的repository/conf/identity/identity.xml、repository/conf/identity/oauth.xml，重点查看声明映射、SAML处理相关的配置项。
• 检查是否有新增的开关需要启用，例如控制SAML2 Bearer Grant声明映射的配置项。

内容的提问来源于stack exchange，提问作者user23321495