如何修改pac4j中OIDC Client的名称及解决授权异常问题

已完成操作 #

• 修改凭证，切换Google Cloud中的OAuth2.0-Client-ID
• 设置上下文base_url，使GoogleOidcClient可在公网主机/IP下正常工作

修改Client名称遇到的问题 #

• 在Google Cloud Console中将ID名称从GoogleOidClient改为Auth-Test，同步修改回调URL的client_name参数后，收到Google返回的malformed_url错误
• 向工厂添加oidcClient.setName("Auth-Test")代码后，出现“unauthorized”错误

疑问 #

1. GoogleOidcClient是否不允许修改名称？
2. setName是否为错误的修改方法？
3. 是否有向pac4j配置添加自定义OIDC Client的教程？
4. 为何日志仍指向localhost:8080？

日志内容 #

JEE PAC4J DEMO 09:55:45.735 [http-nio-8080-exec-52] DEBUG o.p.core.engine.DefaultSecurityLogic - url: http://localhost:8080/jee-pac4j-demo/oidc/index.jsp
JEE PAC4J DEMO 09:55:45.735 [http-nio-8080-exec-52] DEBUG o.p.core.engine.DefaultSecurityLogic - clients: GoogleOidcClient | matchers: null
JEE PAC4J DEMO 09:55:45.735 [http-nio-8080-exec-52] DEBUG o.p.core.engine.DefaultSecurityLogic - currentClients: []
JEE PAC4J DEMO 09:55:45.735 [http-nio-8080-exec-52] DEBUG o.p.core.engine.DefaultSecurityLogic - Loaded profiles (from session: true): []
JEE PAC4J DEMO 09:55:45.735 [http-nio-8080-exec-52] DEBUG o.p.core.engine.DefaultSecurityLogic - unauthorized

关于修改Client名称的问题 #

1. Google Cloud端名称与pac4j端名称无绑定关系
   Google Cloud Console里的ID名称只是控制台的显示标识，和pac4j中配置的Client名称完全独立，不需要同步修改。回调URL中的client_name参数是pac4j用来识别自身配置的Client实例的，和Google端的名称无关。你之前同步修改后出现malformed_url，是因为Google的回调URL配置必须严格匹配pac4j生成的回调地址，而修改后的client_name在pac4j中还没有对应的Client实例，导致Google判定URL无效。

2. setName方法是正确的，但需同步所有关联配置
   setName是修改Client名称的正确方法，出现“unauthorized”错误的原因通常是：

   • 未同步更新所有引用该Client的位置：比如注解中的clientName参数、回调URL中的client_name参数、SecurityConfig中注册的Client集合
   • 未清除旧会话缓存：之前用旧名称生成的会话数据会干扰新名称的Client验证
   • 检查SecurityConfig是否将改名后的Client实例正确添加到Clients集合中，确保拦截器或注解指定的clientName与Auth-Test完全一致

关于自定义OIDC Client的配置 #

无需额外教程，按以下步骤调整即可：

• 创建GoogleOidcClient实例时，通过setName("自定义名称")设置标识
• 将该实例添加到Clients集合中
• 在需要授权的页面/接口上，通过注解（如@Client）指定该自定义名称
• 在Google Cloud Console中配置回调URL为{base_url}/callback?client_name=自定义名称

关于日志指向localhost:8080的问题 #

这是因为应用容器（如Tomcat）内部仍认为请求来自localhost，通常是公网访问通过反向代理转发导致的，解决方法：

• 配置反向代理（如Nginx）时，添加X-Forwarded-Proto、X-Forwarded-Host、X-Forwarded-Port请求头
• 在pac4j配置中设置setCallbackUrlResolver(new ProxyUrlResolver())，让框架优先使用转发头中的公网地址
• 调整应用服务器配置，比如Tomcat需在server.xml的Connector节点添加proxyName、proxyPort、scheme参数，开启转发头支持

内容的提问来源于stack exchange，提问作者Impatient Hippo