WSO2 APIM 4.2.0集成IS 6.1.0作为联邦IDP时认证异常求助

一、解决「检测到可疑认证尝试，请重新登录」问题 #

该错误核心是OIDC会话验证不通过，不要直接禁用nonce cookie，优先排查以下几点：

• 确保APIM与IS的系统时钟完全同步：OIDC nonce有有效期，时钟偏差会直接导致验证失败。
• 统一双方会话配置：在APIM和IS的deployment.toml中添加/确认会话域名配置，保持一致：

  [session]
  cookie_domain = "localhost.com"
  

• 核对OIDC回调URL：IS中创建的OIDC服务提供者，回调URL必须与APIM配置的完全匹配（包括协议、域名、端口，无拼写错误）。

二、解决SSL握手错误（PKIX路径验证失败） #

默认证书域名与你使用的localhost.com不匹配，且自签名证书未被对方信任，处理步骤如下：

1. 双向导入信任证书 #

导出IS证书并导入APIM信任库

在IS安装目录的<IS_HOME>/repository/resources/security下执行：

# 导出IS默认证书
keytool -export -alias wso2carbon -keystore wso2carbon.jks -file is_cert.pem -storepass wso2carbon

# 将证书导入APIM的客户端信任库
keytool -import -alias is_cert -file is_cert.pem -keystore <APIM_HOME>/repository/resources/security/client-truststore.jks -storepass wso2carbon -noprompt

导出APIM证书并导入IS信任库

在APIM安装目录的<APIM_HOME>/repository/resources/security下执行：

# 导出APIM默认证书
keytool -export -alias wso2carbon -keystore wso2carbon.jks -file apim_cert.pem -storepass wso2carbon

# 将证书导入IS的客户端信任库
keytool -import -alias apim_cert -file apim_cert.pem -keystore <IS_HOME>/repository/resources/security/client-truststore.jks -storepass wso2carbon -noprompt

2. 可选：替换为对应域名的证书（长期方案） #

若长期使用localhost.com，建议生成匹配域名的自签名证书替换默认证书：

keytool -genkey -alias wso2carbon -keyalg RSA -keysize 2048 -keystore wso2carbon.jks -dname "CN=localhost.com, OU=WSO2, O=WSO2, L=Colombo, S=Western, C=LK" -storepass wso2carbon -keypass wso2carbon

替换双方<PRODUCT_HOME>/repository/resources/security/wso2carbon.jks后，重复第一步的双向导入操作。

三、恢复nonce配置 #

删除之前添加的[session.nonce.cookie] enabled="false"配置，该设置会破坏OIDC安全机制，导致会话异常（如被重定向至登出页），重启APIM和IS即可。

内容的提问来源于stack exchange，提问作者user666