OAuth2 Proxy对接LemonLDAP::NG OIDC提供商签名验证失败排查

一、解决id_token签名验证失败核心问题 #

1. 对齐签名算法配置 #

• 登录LemonLDAP::NG管理后台，进入应用>OpenID Connect RP，找到你的OAuth2 Proxy客户端，查看签名算法设置：
  • 如果LemonLDAP用的是HS256对称算法，在OAuth2 Proxy启动参数中添加--oidc-signing-algs=HS256，同时确保--client-secret与LemonLDAP客户端密钥完全一致（大小写、特殊字符都不能错）。
  • 如果用的是RS256等非对称算法，确认LemonLDAP的JWKS端点能正常返回对应公钥。

2. 验证OIDC Issuer配置一致性 #

• 确保OAuth2 Proxy的--oidc-issuer-url与LemonLDAP::NG配置的Issuer地址完全一致，包括协议（http/https）、域名、路径，末尾斜杠也要完全匹配。OAuth2 Proxy会自动从Issuer的.well-known/openid-configuration端点拉取JWKS地址，Issuer配置错误会导致拉取无效密钥。

3. 检查id_token的核心声明 #

• 用本地jwt命令行工具解析返回的id_token：

  jwt decode YOUR_ID_TOKEN --no-verify
  

• 确认iss字段与OAuth2 Proxy的--oidc-issuer-url完全一致，aud字段包含OAuth2 Proxy的--client-id，任意字段不匹配都会触发签名验证失败。

4. 校验客户端重定向URI #

• 在LemonLDAP::NG的客户端设置中，允许的重定向URI必须与OAuth2 Proxy的--redirect-url完全一致，包括域名、路径、端口（如果有），大小写也要严格匹配。

二、调试授权码的实用方法 #

1. 开启OAuth2 Proxy调试日志 #

• 启动时添加--log-level=debug，日志会输出：
  • 授权码兑换的POST请求参数、响应内容
  • JWKS端点的拉取结果
  • id_token的解析与验证细节
• 重点关注exchanging code for token相关条目，确认返回的id_token格式、签名算法是否符合预期。

2. 手动模拟授权码兑换流程 #

• 从OAuth2 Proxy的debug日志或浏览器抓包中拿到授权码，用curl手动请求token端点：

  curl -X POST https://your-llng.example.com/oauth2/token \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=authorization_code" \
    -d "code=YOUR_AUTH_CODE" \
    -d "redirect_uri=https://my-app.example.com/oauth2/callback" \
    -d "client_id=YOUR_PROXY_CLIENT_ID" \
    -d "client_secret=YOUR_PROXY_CLIENT_SECRET"
  

• 解析返回的id_token，用LemonLDAP的公钥手动验证签名：

  # 假设公钥存放在public_key.pem
  jwt verify YOUR_ID_TOKEN --key public_key.pem
  

3. 对比Mattermost配置差异 #

• 查看Mattermost的OIDC配置，确认其Issuer URL、Client ID与OAuth2 Proxy是否一致。Mattermost使用/oauth2/userinfo是因为它配置为依赖用户信息端点，而OAuth2 Proxy默认依赖id_token，这是正常差异，但可以参考Mattermost的有效配置修正OAuth2 Proxy的参数。

三、额外排查点 #

• 登录LemonLDAP::NG客户端设置，尝试完全禁用PKCE，再测试OAuth2 Proxy的流程，排除PKCE配置不兼容问题。
• 确认OAuth2 Proxy v7.4.0的--oidc-jwks-url参数是否被错误设置，如果手动指定了该参数，必须与LemonLDAP的/oauth2/jwks端点完全一致。

内容的提问来源于stack exchange，提问作者CDuv