WSO2 APIM 4.1.0中APIMgtGatewayJWTGeneratorImpl自定义Claims不生效问题咨询

操作步骤 #

• 将WSO2 APIM从3.1.0版本升级至4.1.0
• 通过导航至「添加新声明（Add New Claim）」添加新的本地声明（相关配置界面含两张截图：声明基本信息配置页、声明映射配置页）
• 发布微服务
• 使用创建的OIDC Scope调用token端点
• 传入access_token调用API端点

问题现象 #

使用Bearer令牌调用API时，Carbon日志中可见X-JWT-Assertion头，但解码后未包含新增的本地声明；APIMgtGatewayJWTGeneratorImpl仅返回有限的核心声明（相关日志截图显示该类输出的声明列表不含新增项）

咨询问题 #

1. 为何APIMgtGatewayJWTGeneratorImpl仅返回有限声明？
2. 是否需配置才能返回新增声明？
3. 是否需要编写自定义JWTGenerator以返回所有声明？

预期结果 #

JWT令牌应包含所有新增的本地声明

环境信息 #

• WSO2 APIM 4.1.0
• WSO2 IS 5.11.0

解答 #

1. 为何APIMgtGatewayJWTGeneratorImpl仅返回有限声明？ #

APIMgtGatewayJWTGeneratorImpl默认仅包含预定义的核心声明（如用户ID、用户名、角色等）以及与绑定OIDC Scope关联的声明，不会自动纳入所有新增本地声明。这是官方默认设计：一方面控制JWT体积、保证网关性能，另一方面避免非必要的用户信息泄露。

2. 是否需配置才能返回新增声明？ #

是，无需自定义代码，通过以下配置即可实现：

• 配置网关JWT生成规则
  打开<APIM_HOME>/repository/conf/deployment.toml，添加或修改配置：
  若需指定包含特定新增声明，添加：

  [apim.gateway.jwt_generator]
  include_claims = ["http://wso2.org/claims/自定义声明URI1", "http://wso2.org/claims/自定义声明URI2"]
  

  若需包含所有用户声明，直接开启全局配置：

  [apim.gateway.jwt_generator]
  include_all_claims = true
  

• 关联声明与OIDC Scope
  在WSO2 IS管理控制台中，进入「Scopes」找到目标OIDC Scope，编辑后在「Claims」标签下添加新增的本地声明，保存配置。
• 重启APIM服务
  修改配置后重启WSO2 APIM，使配置生效。

3. 是否需要编写自定义JWTGenerator以返回所有声明？ #

不需要。通过上述官方提供的配置项即可满足“包含所有新增本地声明”的需求。仅当需要实现高度定制化逻辑（如声明动态过滤、格式转换、自定义数据源获取声明等）时，才需要开发自定义JWTGenerator。

内容的提问来源于stack exchange，提问作者Hareesh