如何为WSO2认证端点添加Strict-Transport-Security等响应头？

我之前也碰到过和你一模一样的问题——WSO2的这些认证端点属于Identity Server的核心Web应用，和普通API的响应头配置逻辑完全不同，下面是几个我亲测有效的解决方案：

WSO2 Identity Server底层基于Tomcat运行，我们可以直接修改Tomcat的全局配置，强制为目标端点注入响应头：

1. 打开<IS_HOME>/repository/conf/tomcat/web.xml文件
2. 添加自定义过滤器定义，用于配置需要的响应头：

<filter>
    <filter-name>AuthEndpointHeaderFilter</filter-name>
    <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
    <!-- 配置HSTS -->
    <init-param>
        <param-name>hstsMaxAgeSeconds</param-name>
        <param-value>31536000</param-value>
    </init-param>
    <init-param>
        <param-name>hstsIncludeSubDomains</param-name>
        <param-value>true</param-value>
    </init-param>
    <!-- 配置CSP，可根据你的需求调整规则 -->
    <init-param>
        <param-name>contentSecurityPolicy</param-name>
        <param-value>default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;</param-value>
    </init-param>
</filter>

3. 添加过滤器映射，精准覆盖你提到的所有认证端点：

<filter-mapping>
    <filter-name>AuthEndpointHeaderFilter</filter-name>
    <url-pattern>/oauth2/authorize</url-pattern>
    <url-pattern>/authenticationendpoint/*</url-pattern>
    <url-pattern>/logincontext</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>FORWARD</dispatcher>
</filter-mapping>

修改完成后重启WSO2 IS，这个方法能从容器层面强制注入响应头，绕过应用自身的处理逻辑，覆盖范围最广。

如果是/authenticationendpoint/login.do这类基于JSP渲染的页面，还可以直接修改页面源码手动添加响应头：

1. 找到<IS_HOME>/repository/deployment/server/webapps/authenticationendpoint/login.jsp文件
2. 在文件开头的指令声明后，添加JSP代码设置响应头：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%
    // 添加HSTS头
    response.setHeader("Strict-Transport-Security", "max-age=31536000; includeSubDomains");
    // 添加CSP头，可自定义规则
    response.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline';");
%>

这种方式适合需要为特定页面定制CSP规则的场景，修改后无需重启，刷新页面即可生效。

如果需要基于请求参数动态调整响应头规则，可以通过编写自定义OAuth扩展实现：

1. 创建一个Java类，继承org.wso2.carbon.identity.oauth2.handlers.auth.OAuthAuthzRequestHandler，重写授权请求处理方法：

public class CustomAuthHeaderHandler extends OAuthAuthzRequestHandler {
    @Override
    public boolean handleAuthorizationRequest(OAuthAuthzReqMessageContext oauthReqCtx) throws OAuth2Exception {
        HttpServletResponse response = oauthReqCtx.getHttpResponse();
        // 设置响应头
        response.setHeader("Strict-Transport-Security", "max-age=31536000; includeSubDomains");
        response.setHeader("Content-Security-Policy", "your-custom-dynamic-policy");
        return super.handleAuthorizationRequest(oauthReqCtx);
    }
}

2. 将类打包成JAR文件，放到<IS_HOME>/repository/components/dropins目录
3. 在<IS_HOME>/repository/conf/identity/identity.xml中配置这个Handler，让它参与OAuth授权流程

这个方案灵活性最高，但需要一定的Java开发基础，适合复杂业务场景。

最后提醒：无论用哪种方案，都要测试每个目标端点的响应头是否正确返回，确保配置生效。

内容的提问来源于stack exchange，提问作者Lakshmi