WSO2 IS 5.9已配置OAuth2 SP，如何仅用用户证书获取OAuth2令牌？

当然可以！WSO2 Identity Server 5.9完全支持仅通过用户证书获取OAuth2令牌的场景，主要是通过TLS客户端认证结合OAuth2的相关流程来实现，下面我给你详细拆解配置步骤和注意事项：

1. 关联用户与证书 #

首先要让WSO2 IS识别用户的证书：

• 登录IS管理控制台，进入用户管理 > 列表 > 目标用户，切换到证书标签页，上传用户的公钥证书（支持.cer或.pem格式）。
• 如果你的证书是由CA签发的，也可以直接将CA根证书导入IS的信任存储（client-truststore.jks），这样所有该CA签发的合法证书都会被信任。

2. 配置服务提供者（SP）的OAuth2认证规则 #

进入已创建的SP配置页面：

• 找到OAuth/OpenID Connect配置，编辑现有OAuth2条目。
• 在认证方式区域，启用TLS客户端认证选项，设置为强制要求客户端（用户）提供证书完成身份校验。

3. 开启IS令牌端点的双向SSL #

需要修改IS的deployment.toml配置文件，确保令牌端点支持双向SSL：

[transport.https]
client_auth = "required"
truststore = "${carbon.home}/repository/resources/security/client-truststore.jks"
truststore_password = "wso2carbon"

这里的client_auth设为required表示必须验证客户端证书，同时要确保用户的证书或CA证书已在指定的信任存储中。

4. 发送令牌请求示例 #

配置完成后，你可以用curl携带用户证书发送请求获取令牌。以下是两种常见场景的示例：

授权码流程（针对交互式用户） #

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" \
  --cert /path/to/user-public-cert.pem \
  --key /path/to/user-private-key.pem \
  -d "grant_type=authorization_code&code=YOUR_AUTH_CODE&redirect_uri=YOUR_REDIRECT_URI&client_id=YOUR_CLIENT_ID" \
  https://<IS_HOST>:9443/oauth2/token

客户端凭证流程（针对非交互式机器用户） #

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" \
  --cert /path/to/user-public-cert.pem \
  --key /path/to/user-private-key.pem \
  -d "grant_type=client_credentials&scope=YOUR_REQUIRED_SCOPES" \
  https://<IS_HOST>:9443/oauth2/token

• 确保用户证书的**CN（通用名称）或SAN（主题备用名称）**与IS中用户的用户名一致，这样IS才能正确将证书关联到对应的用户账号。
• 如果使用自签名证书，必须将证书导入IS的client-truststore.jks，否则会出现证书验证失败的错误。
• 若要在用户授权环节完全跳过密码登录，还可以在SP的登录配置中启用证书认证作为默认登录选项，让用户直接通过证书完成身份验证。

内容的提问来源于stack exchange，提问作者fipries