WSO2 Identity Server：如何在登录场景外触发短信及邮件OTP

当然可以复用登录环节配置的短信/邮件OTP配置，在登录以外的事件中触发OTP发送。WSO2 IS提供了API、SDK以及扩展机制来实现这个需求，具体方案如下：

1. 直接调用REST API #

WSO2 IS的Identity REST API支持独立生成、发送和验证OTP，完全复用你已配置的MFA渠道参数（短信网关、邮件服务器等）：

• 生成并发送OTP：发送POST请求到/api/identity/recovery/v1.0/otp，请求体指定用户的用户名/用户ID、OTP类型（SMS或EMAIL），接口会自动使用你在MFA里配置的发送渠道下发OTP。
• 验证OTP：发送GET请求到同一接口，传入用户标识和OTP值即可完成校验。
• 前置条件：需要先通过OAuth2获取具有internal_identity_mgt权限范围的访问令牌，才能调用该API。

2. 使用Java SDK集成 #

如果你的系统是Java应用，可以直接用WSO2提供的Identity Management SDK来调用OTP功能：

• 引入Maven依赖：org.wso2.carbon.identity.mgt:carbon-identity-mgt
• 核心调用代码示例：

  // 生成OTP
  String otp = OTPManager.generateOTP(user, "SMS");
  // 发送OTP
  OTPManager.sendOTP(user, otp, "SMS");
  // 验证OTP
  boolean isValid = OTPManager.validateOTP(user, userInputOtp, "SMS");
  

• 这里的channelType传SMS或EMAIL，SDK会自动读取IS中已配置的MFA渠道参数，无需重复配置。

3. 基于事件触发器自动发送 #

如果需要在特定系统事件（比如用户修改密码、角色变更）自动触发OTP发送，可以通过IS的事件扩展框架实现：

• 编写自定义事件监听器，监听目标事件（比如POST_UPDATE_USER、POST_ADD_ROLE_TO_USER）。
• 在监听器的逻辑中调用上述API或SDK方法，触发OTP的生成与发送。
• 将监听器配置到IS的deployment.toml中，确保事件触发时自动执行逻辑。

注意事项 #

• 确保你在登录MFA中配置的短信/邮件渠道已经正常生效，这样非登录场景调用时才能直接复用这些配置。
• API调用必须做好权限控制，避免未授权的OTP生成请求。
• 自定义扩展时要处理异常情况（比如短信发送失败），不要影响主业务流程。

内容的提问来源于stack exchange，提问作者user666