已完成注册登录，如何通过WSO2 IS结合Spring Boot/Java获取用户权限

一、从JWT Token解析权限信息 #

登录成功返回的ID Token或Access Token（JWT格式）中，通常包含用户角色、权限相关的Claim字段，比如groups、roles或自定义的permissions。

• 解码JWT：可通过代码（如Java的JJWT库、Python的pyjwt）或本地解码工具解析Token的Payload部分，直接读取权限相关字段。
• 示例Payload片段：

{
  "sub": "user123",
  "groups": ["admin", "editor"],
  "permissions": ["view_dashboard", "edit_content"]
}

注意：需在WSO2 IS的服务提供者配置中，将需要的角色/权限Claims添加到ID Token或Access Token的Claim列表，确保字段被包含进Token。

二、调用User Info API获取权限 #

使用登录后拿到的Access Token，调用User Info端点获取用户关联的角色/权限：

• 请求方式：GET
• 请求URL：https://<IS_HOST>:<IS_PORT>/oauth2/userinfo
• 请求头：Authorization: Bearer <ACCESS_TOKEN>
• 响应示例：

{
  "sub": "user123",
  "email": "user@example.com",
  "roles": ["admin", "editor"],
  "groups": ["marketing_team"]
}

说明：需在服务提供者的Claim配置中启用角色相关Claims，确保User Info API返回对应数据。

三、通过SCIM 2.0 API查询用户角色与权限 #

SCIM API可直接获取用户的详细关联信息，包括所属角色，进而映射到权限：

1. 获取用户角色详情 #

• 请求方式：GET
• 请求URL：https://<IS_HOST>:<IS_PORT>/scim2/Users/<USER_ID>?attributes=roles
• 请求头：Authorization: Bearer <ACCESS_TOKEN>（需确保Token拥有用户信息查询权限）
• 响应示例：

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "id": "user123",
  "roles": [
    {
      "value": "admin",
      "display": "Administrator",
      "type": "group"
    }
  ]
}

2. 关联角色权限 #

若权限是绑定到角色的，可通过WSO2 IS后台配置的角色权限规则，将获取到的角色映射为具体权限。

四、使用Entitlement API做细粒度权限判断 #

如果需要验证用户对特定资源的访问权限（如ABAC/RBAC场景），可调用Entitlement API：

• 请求方式：POST
• 请求URL：https://<IS_HOST>:<IS_PORT>/api/identity/entitlement/decision/v1.0/evaluate
• 请求头：Content-Type: application/json，Authorization: Bearer <ACCESS_TOKEN>
• 请求体示例：

{
  "subject": "user123",
  "resource": "/api/dashboard",
  "action": "view"
}

• 响应示例：

{
  "decision": "Permit",
  "obligations": []
}

说明：需提前在WSO2 IS中配置XACML策略，定义资源、动作与用户/角色的权限关联规则。

内容的提问来源于stack exchange，提问作者Abd Abughazaleh