WSO2 APIM 3.2.0是否移除apim.jwt_authenitcation.subscription_validation_via_km配置？

首先明确：WSO2 APIM 3.2.0确实对外部OAuth提供商的订阅验证逻辑做了调整，你参考的3.1.0版本的配置方式已经不再完全适用，单独设置apim.jwt_authentication.subscription_validation_via_km=false不足以解决这个问题。下面是具体的排查和解决方向：

1. 检查JWT声明映射是否正确 #

APIM 3.2.0需要从Auth0返回的JWT中准确识别用户或应用的标识，才能关联到对应的订阅记录。你需要：

• 进入APIM管理控制台的Identity Providers，找到你配置的Auth0 IdP
• 在Claim Configuration里，确保将Auth0的核心声明（比如sub）正确映射到APIM的用户标识声明（比如http://wso2.org/claims/username）
• 如果使用的是应用级令牌，还要确保映射了http://wso2.org/claims/applicationid这类APIM识别的应用标识声明

2. 调整订阅验证的核心配置 #

除了你设置的参数，还需要检查以下两个关键配置（位于<APIM_HOME>/repository/conf/deployment.toml）：

• apim.jwt_authentication.enable_subscription_validation：这个参数控制是否开启全局的订阅验证。如果你的场景不需要APIM的订阅校验，需要将它设置为false（默认是true）
• apim.jwt_authentication.allow_unsubscribed_access：如果允许未订阅的用户/应用访问API，可以设置为true，但这只适合不需要订阅管控的场景

注意：如果你的业务需要保留订阅验证，不要关闭上述参数，而是要确保JWT里的标识能准确匹配APIM中已订阅的用户/应用。

3. 确认Auth0 Identity Provider配置的完整性 #

在APIM 3.2.0中，外部OAuth IdP的配置有一些细节需要注意：

• 确保勾选了Enable OAuth2/OpenIDConnect选项
• 核对Authorization Endpoint、Token Endpoint、Userinfo Endpoint的地址是否正确（Auth0的这些地址通常包含你的租户域名）
• 在Federated Authenticators > OAuth2/OpenIDConnect下，确保勾选了Enabled，并正确配置了Client ID、Client Secret
• 将这个Auth0 IdP设置为对应API的认证方式，或者设置为租户的默认身份提供商

4. 验证API订阅状态 #

最后确认：

• 你用来访问API的用户/应用确实已经订阅了目标API，且订阅状态为Active
• API的权限配置（比如范围、角色）允许该用户/应用访问对应的资源路径和HTTP方法

为什么旧版配置无效？ #

APIM 3.2.0重构了JWT验证和订阅验证的流程，apim.jwt_authentication.subscription_validation_via_km这个参数原本是控制是否通过密钥管理器验证订阅，但在3.2.0中，全局订阅验证的开关变成了apim.jwt_authentication.enable_subscription_validation，单独设置前者已经无法跳过整个订阅校验流程。

内容的提问来源于stack exchange，提问作者naoko