WSO2 APIM：客户端凭证模式下sub声明异常问题

你说得完全正确！在OAuth2的**客户端凭证模式（client_credentials）**中，JWT的sub声明理应指向客户端ID（即你的应用标识），而不是某个用户ID。你当前碰到的情况是WSO2 API Manager的默认配置行为，我们可以通过简单调整配置来修复这个问题。

为什么默认会显示用户ID？ #

WSO2 APIM的默认逻辑里，当使用客户端凭证模式生成JWT时，会把对应应用的所有者（owner）用户ID填充到sub字段中。但这其实不符合OAuth2规范对客户端凭证模式的定义——这个模式本来就没有用户参与，凭证是客户端自身的身份标识，所以sub应该对应客户端ID才对。

修改配置的具体步骤 #

要让客户端凭证模式生成的JWT的sub改为客户端ID，只需修改APIM的核心配置文件：

1. 打开WSO2 APIM安装目录下的 <APIM_HOME>/repository/conf/deployment.toml 文件
2. 添加或更新以下配置项，指定自定义的JWT生成器实现：

[oauth.extensions]
jwt_generator_impl = "org.wso2.carbon.apimgt.impl.token.JWTGenerator"

3. 接着在同一个文件中添加客户端凭证模式的专属配置，开启sub字段使用客户端ID的功能：

[apim.oauth_config]
enable_client_credentials_sub_as_client_id = true

4. 保存配置后，重启WSO2 APIM服务

验证修改效果 #

重启服务后，再次用客户端凭证模式请求令牌，你会发现JWT中的sub字段已经变成你的客户端ID（也就是请求中Authorization: Basic头对应的客户端标识），而不再是用户ID了。

如果之后你需要更个性化的JWT声明定制，还可以通过扩展WSO2的JWT生成器来实现，但上述配置已经能解决你当前的核心问题。

内容的提问来源于stack exchange，提问作者Pradeep Kumar