WSO2 IS中如何限制仅指定UserStore用户获取OAuth2令牌？

当然可以实现这个需求！我来给你两种可行的方案，你可以根据自己的场景选择：

方案一：修正XACML策略配置 #

你之前的XACML策略没生效，大概率是因为没有精准匹配OAuth2令牌请求的上下文或者条件判断有误。正确的策略需要针对令牌颁发动作，检查用户所属的用户存储域：

• 登录WSO2 IS管理控制台，进入Entitlement > Policies > Add New Policy，创建XACML 3.0策略
• Target配置：指定资源为OAuth2令牌端点，动作设为http://wso2.org/identity/oauth/issue（对应WSO2 IS的令牌颁发动作）
• Condition配置：添加条件判断用户的用户存储域，使用属性http://wso2.org/identity/user/user-store-domain，设置为你允许的存储域名称（比如PRIMARY或自定义域）
• 策略效果设为Permit，再创建一个默认的Deny策略，确保不符合条件的请求被拒绝

注意：要确保XACML引擎已启用，并且在OAuth2服务提供商的OAuth/OpenID Connect Configuration中开启Enable Authorization选项，让令牌请求走XACML授权检查。

方案二：自定义OAuth2令牌颁发拦截器 #

如果XACML配置始终有卡点，自定义拦截器是更直接可控的方式，步骤如下：

1. 创建Java类，实现org.wso2.carbon.identity.oauth2.token.handlers.grant.interceptor.TokenIssuerInterceptor接口
2. 重写intercept方法，检查用户的存储域：

   @Override
   public boolean intercept(OAuthTokenReqMessageContext tokReqMsgCtx) throws OAuthSystemException {
       // 获取当前授权用户
       User authorizedUser = tokReqMsgCtx.getAuthorizedUser();
       if (authorizedUser == null) {
           return false; // 无授权用户直接拒绝
       }
       
       // 指定允许的用户存储域
       String allowedDomain = "YOUR_TARGET_USER_STORE_DOMAIN";
       // 校验用户所属域
       if (!allowedDomain.equals(authorizedUser.getUserStoreDomain())) {
           tokReqMsgCtx.setErrorMsg("Access denied: Only users from " + allowedDomain + " are allowed");
           tokReqMsgCtx.setErrorCode(OAuth2ErrorCodes.ACCESS_DENIED);
           return false;
       }
       return true; // 符合条件则继续颁发令牌
   }
   

3. 将编译好的JAR包放入WSO2 IS的repository/components/dropins目录
4. 在repository/conf/identity/identity.xml中配置拦截器：

   <OAuth2>
       <TokenIssuerInterceptors>
           <Interceptor class="com.your.package.YourCustomInterceptor"/>
       </TokenIssuerInterceptors>
   </OAuth2>
   

5. 重启WSO2 IS，拦截器即可生效

额外提示 #

• 如果你使用WSO2 IS 5.10+版本，也可以尝试Identity Governance中的OAuth2 Token Issuance Policies，不过该功能更适合结合角色/声明控制，不如自定义拦截器直接针对用户存储域
• 测试时，用非允许域的用户请求令牌会收到access_denied错误，允许域的用户可正常获取令牌

内容的提问来源于stack exchange，提问作者fipries