WSO2 API Manager+NGINX公网暴露API时OAuth2认证异常求助

环境与现状 #

• 服务器：Oracle Linux
• 运行组件：Micro-integrator 4.1.0、Api-Manager 4.1.0
• 内网访问：Admin、Publisher、DevPortal站点及基于OAuth2（授权码+令牌）创建的API可在服务器及局域网内通过Postman正常访问

公网暴露配置（现有NGINX规则） #

location /oauth2 {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass https://192.168.135.64:9443;
        proxy_read_timeout  300;
        proxy_ssl_server_name on;
        proxy_ssl_session_reuse off;
        proxy_ssl_verify off;
}

location /dsFenicio {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_pass https://192.168.135.64:8243;
        proxy_read_timeout  300;
        proxy_ssl_server_name on;
        proxy_ssl_session_reuse off;
        proxy_ssl_verify off;
}

问题现象 #

通过Postman发送OAuth2授权码请求时，浏览器弹出提示：“检测到可疑认证尝试，认证过程中发现可疑登录尝试，请重新登录”；wso2carbon.log日志报错：

ERROR {org.wso2.carbon.identity.application.authentication.framework.handler.request.impl.DefaultRequestCoordinator} - Exception in Authentication Framework org.wso2.carbon.identity.application.authentication.framework.exception.FrameworkException: Session nonce cookie value is not matching for session with sessionDataKey: bf74d0ec-05ef-4682- ...

问题根源 #

该错误是WSO2身份认证框架的会话nonce校验失败导致的，核心原因是反向代理（NGINX）配置与WSO2 APIM的会话/路径配置不匹配：

1. NGINX的proxy_pass路径未正确映射WSO2的端点上下文，导致请求路径错位，会话Cookie的路径无法匹配
2. WSO2 APIM未正确识别反向代理传递的X-Forwarded-*头信息，导致生成的会话Cookie参数（路径、域名、安全标识）不符合公网访问场景
3. 反向代理未正确传递/转换WSO2返回的会话Cookie，导致客户端携带的Cookie无法被WSO2正确识别

解决方案 #

1. 修正NGINX代理路径与Cookie配置

更新NGINX的location规则，确保路径映射正确，并添加Cookie路径转换配置：

location /oauth2 {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        # 修正proxy_pass，添加/oauth2上下文，确保请求路径正确映射
        proxy_pass https://192.168.135.64:9443/oauth2;
        proxy_read_timeout  300;
        proxy_ssl_server_name on;
        proxy_ssl_session_reuse off;
        proxy_ssl_verify off;
        # 转换WSO2返回的Cookie路径，适配反向代理上下文
        proxy_cookie_path /oauth2 /oauth2;
        # 若WSO2返回的Cookie路径为根路径，替换为/oauth2
        # proxy_cookie_path / /oauth2;
}

location /dsFenicio {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        # 修正proxy_pass，添加/dsFenicio上下文
        proxy_pass https://192.168.135.64:8243/dsFenicio;
        proxy_read_timeout  300;
        proxy_ssl_server_name on;
        proxy_ssl_session_reuse off;
        proxy_ssl_verify off;
        proxy_cookie_path /dsFenicio /dsFenicio;
        # 若API上下文为根路径，替换为/dsFenicio
        # proxy_cookie_path / /dsFenicio;
}

2. 配置WSO2 APIM适配反向代理

在<APIM_HOME>/repository/conf/deployment.toml中添加以下配置，让WSO2识别反向代理的头信息并生成正确的会话Cookie：

# 配置反向代理相关头信息
[transport.https.properties]
proxyPort = 443
X-Forwarded-Host = "你的公网域名"
X-Forwarded-Proto = "https"
X-Forwarded-Port = "443"

# 配置会话Cookie的安全属性与路径
[session_config]
cookie_domain = "你的公网域名"
cookie_path = "/"
cookie_secure = true
cookie_http_only = true
same_site = "Lax"

# 确保认证框架正确处理反向代理请求
[authentication.framework]
enable_forwarded_headers = true

3. 重启服务

• 重启NGINX服务：sudo systemctl restart nginx
• 重启WSO2 APIM与Micro-integrator服务，确保配置生效

临时应急方案（不推荐生产环境使用）

如果上述配置无法快速生效，可临时关闭nonce校验（存在安全风险）：
在deployment.toml中添加：

[authentication.framework]
enable_nonce_validation = false

重启WSO2 APIM后生效，后续需尽快完成正规配置修复。

内容的提问来源于stack exchange，提问作者Daniel Capone