WSO2 IS 5.10自注册页如何调用REST API自动填充字段且不暴露前端接口

核心逻辑是所有第三方业务API调用全在服务端完成，前端仅与WSO2自带webapp的同域代理接口交互，完全不暴露真实业务API地址、鉴权信息，具体落地步骤如下：

1. 定位待修改的自助注册页面文件 #

WSO2 IS 5.10 默认自助注册页的存放路径为：
<IS_HOME>/repository/deployment/server/webapps/authenticationendpoint/self-registration.jsp
对应页面的前端逻辑可以直接写在该JSP的script标签内，也可以放到同目录的静态js文件中引用。

2. 实现服务端代理接口（规避API暴露风险的核心步骤） #

禁止在前端直接编写业务API的调用逻辑，在authenticationendpoint webapp中新增内置的服务端代理servlet，所有业务API的请求全由该servlet在服务端发起：

• 打开该webapp的配置文件：<IS_HOME>/repository/deployment/server/webapps/authenticationendpoint/WEB-INF/web.xml，新增servlet映射，将代理接口路径设为/api/registerAutoFill，仅允许POST方法请求。
• 编写servlet实现逻辑：
  • 复用WSO2页面自带的CSRF校验逻辑，拦截非本站点发起的恶意请求。
  • 从请求参数中获取用户在表单中输入的触发字段值（比如工号、统一身份ID等），先做格式合法性校验，非法请求直接返回参数错误。
  • 在servlet服务端代码中硬编码业务API的真实地址、鉴权密钥、请求头等敏感信息，由服务端发起HTTP请求调用业务API，获取关联字段数据。
  • 对业务API返回的数据做字段过滤，仅返回表单需要填充的非敏感字段（比如姓名、部门、默认邮箱等），以JSON格式返回给前端。
  • 可额外加接口频率限制，比如单IP1分钟内最多请求10次，避免接口被恶意调用爬取数据。
• 将编译好的servlet class文件放到WEB-INF/classes对应包路径下，等待热加载或重启服务即可生效。

3. 修改JSP页面的前端交互逻辑 #

在self-registration.jsp中添加如下前端逻辑，不需要引入额外第三方依赖：

• 给触发自动填充的表单项（比如工号输入框）添加事件监听，当用户输入完成失焦、或输入内容长度符合规则时触发填充逻辑。
• 触发逻辑时，先获取页面内置的CSRF token，将用户输入的触发字段值作为参数，向同域代理接口/authenticationendpoint/api/registerAutoFill发起POST请求，因为是同域调用，不存在跨域问题，也不会暴露真实后端业务API信息。
• 拿到代理接口返回的字段数据后，通过JS给表单内对应的输入框赋值即可，注意赋值后手动触发对应输入框的change事件，避免WSO2自带的前端表单校验无法识别自动填充的内容。
• 添加基础异常兜底：如果代理接口请求失败、返回数据格式不对，不阻塞用户流程，允许用户手动填写剩余字段。

注意事项 #

• 禁止在前端JS代码中写入任何业务API的地址、鉴权密钥、固定请求头等敏感信息，所有跨服务调用必须走服务端代理。
• 所有改动均在authenticationendpoint外置webapp中完成，不需要修改WSO2内核代码，后续版本升级时只要备份该webapp的改动即可快速恢复。
• 代理接口不要透传前端传入的额外参数到业务API，仅传递提前约定好的触发字段，减少攻击面。

内容的提问来源于stack exchange，提问作者rahul