如何基于WSO2IS与WSO2EI最简实现API角色访问控制？是否需WSO2AM？

首先直接给结论：完全不需要必须使用WSO2AM，利用WSO2EI本身的中介能力结合WSO2IS的身份认证，就能快速实现基于角色的API访问控制，这是当前场景下的最简方案。

具体实现步骤 #

• 第一步：在WSO2IS中准备好身份数据
  确保你已经在WSO2IS里创建了目标用户、对应的角色（比如API_ACCESS_GROUP），并将用户关联到对应的角色上。这一步是基础，后续的授权校验依赖这些身份数据。

• 第二步：在WSO2EI中配置OAuth2认证对接WSO2IS

  1. 在WSO2EI的管理控制台中，添加WSO2IS作为Identity Provider，配置好WSO2IS的token端点和用户信息端点。
  2. 为需要保护的API代理启用OAuth2认证：在API代理的配置中，开启OAuth2验证，指定之前配置的Identity Provider，要求请求必须携带有效的JWT Token才能访问。

• 第三步：添加角色校验的中介逻辑
  WSO2IS生成的JWT Token中默认会包含用户的角色/组信息（通常在groups或roles声明字段里）。我们可以在EI的API代理流程中加入中介逻辑，解析Token并校验角色：

  • 可以使用Filter Mediator结合XPath表达式直接匹配角色，或者用Script Mediator编写更灵活的校验逻辑。下面是一个Script Mediator的示例（JavaScript）：

  <script language="js"><![CDATA[
      // 获取JWT负载数据
      var jwtPayload = mc.getProperty("JWT_PAYLOAD");
      // 定义允许访问当前API的角色列表
      var allowedRoles = ["API_ACCESS_GROUP", "ADMIN"];
      // 从JWT中取出用户的角色集合
      var userRoles = jwtPayload.groups;
  
      var hasPermission = false;
      // 遍历用户角色，检查是否有匹配的允许角色
      for(var i = 0; i < userRoles.length; i++){
          if(allowedRoles.indexOf(userRoles[i]) !== -1){
              hasPermission = true;
              break;
          }
      }
  
      // 如果没有权限，返回403错误
      if(!hasPermission){
          mc.setProperty("HTTP_SC", "403");
          mc.setPayloadXML(<fault><faultstring>Forbidden: You don't have permission to access this API</faultstring></fault>);
      }
  ]]></script>
  

  将这个中介组件放在API代理的"InSequence"中，确保在处理实际业务逻辑前完成授权校验。

补充说明 #

如果后续你的API需求变得复杂（比如需要API版本管理、速率限制、开发者门户、API生命周期管理等），再考虑引入WSO2AM会更合理。但就当前仅需角色级访问控制的场景来说，直接在WSO2EI中完成配置是最轻量化、最简的实现方式。

内容的提问来源于stack exchange，提问作者Brijesh N K