WSO2 API Manager如何动态传递用户凭证至后端令牌生成端点？

方案1：自定义中介序列动态替换凭证参数 #

这是最直接的实现方式，通过编写中介逻辑提取调用者身份，动态覆盖端点的OAuth配置参数：

• 提取调用者身份：
  • 如果调用者通过OAuth2访问APIM，可从上下文属性oauth2_token解析出用户名；如果是基本认证，直接从请求头Authorization提取明文用户名（注意需HTTPS传输）。
  • 若后端微服务的用户凭证与APIM用户存储关联，可调用APIM的用户管理逻辑（或直接访问用户存储）获取对应用户的后端密码。
• 设置动态属性：
  在入流中介序列中，使用Property Mediator设置动态属性，示例配置：

  <property name="uri.var.backendUsername" expression="$ctx:api.ut.userName" scope="default" type="STRING"/>
  <property name="uri.var.backendPassword" expression="get-property('registry','conf:/user-mappings/' + $ctx:api.ut.userName)" scope="default" type="STRING"/>
  

• 更新端点配置：
  将端点OAuth配置中的用户名、密码字段替换为动态变量，比如{uri.var.backendUsername}和{uri.var.backendPassword}，APIM会在运行时自动替换为对应属性值。
• 绑定中介序列：
  将该自定义序列附加到目标API的入流流程中，确保调用后端令牌端点前完成参数替换。

方案2：基于令牌交换（Token Exchange）实现身份委托 #

利用WSO2 APIM的令牌交换能力，将调用者的身份断言传递给后端OAuth服务器，直接换取后端令牌：

• 配置后端OAuth服务器为身份提供者：
  在APIM的身份提供者管理中，添加后端微服务的OAuth服务器作为身份提供者，启用JWT Bearer Grant支持。
• API安全策略配置：
  在API的安全设置中，选择使用令牌交换流程，设置APIM作为客户端，向后端OAuth服务器发起令牌请求时，携带调用者的JWT断言（包含用户身份信息）。
• 后端OAuth服务器适配：
  确保后端OAuth服务器支持JWT Bearer Grant类型，能解析APIM传递的JWT断言，验证用户身份并颁发对应令牌。
  此方案无需硬编码任何用户凭证，完全基于身份断言实现动态令牌生成。

方案3：通过请求头传递后端凭证（适用于信任场景） #

如果允许调用者直接提供后端微服务的用户名密码，可通过自定义请求头传递，再由APIM转发至令牌端点：

• 定义自定义请求头：
  要求调用者在请求中携带X-Backend-Username和X-Backend-Password头（必须使用HTTPS加密传输）。
• 中介提取并设置属性：
  在入流中介中提取这两个头的值，设置为端点可用的属性：

  <property name="uri.var.backendUsername" expression="$trp:X-Backend-Username" scope="default" type="STRING"/>
  <property name="uri.var.backendPassword" expression="$trp:X-Backend-Password" scope="default" type="STRING"/>
  

• 端点配置引用变量：
  同方案1，将端点OAuth配置的用户名、密码替换为上述变量，实现动态传递。

注意事项 #

• 若涉及密码存储，需确保APIM中存储的用户密码采用加密方式，避免明文泄露。
• 所有传递凭证的场景必须强制使用HTTPS，防止传输过程中凭证被窃取。
• 测试阶段可通过APIM的API测试控制台和日志功能，验证动态参数是否正确传递至后端令牌端点。

内容的提问来源于stack exchange，提问作者Cristiano