JAVA完成Okta认证后如何获取已认证用户详情与当前会话信息

以下针对主流的两种集成场景分别给出实现方案：

场景1：使用Spring Boot + Okta官方Starter集成（主流方案） #

• 确认项目已引入依赖okta-spring-boot-starter，且完成了application.yml内的Okta域名、客户端ID、客户端密钥配置
• 获取认证上下文直接调用Spring Security的全局上下文即可：

  // 从安全上下文拿已认证信息
  Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
  // 转换为Okta OIDC用户对象，获取用户详情
  OidcUser oidcUser = (OidcUser) authentication.getPrincipal();
  

• 常用用户属性获取方法：
  • 用户名：oidcUser.getPreferredUsername()
  • 邮箱：oidcUser.getEmail()
  • 姓名：oidcUser.getFullName()
  • 自定义配置的用户属性：oidcUser.getClaim("自定义属性的键名")
• 会话信息获取：Spring Security默认会自动维护和Okta认证绑定的应用会话，可通过request.getSession()获取当前请求的会话对象，ID Token的有效期可通过oidcUser.getIdToken().getExpiresAt()获取，用于判断会话是否过期。

场景2：原生Servlet/非Spring框架集成Okta OIDC SDK #

• 你在完成授权码流程，用回调返回的code参数兑换到id_token、access_token后，首先将token存入当前请求的应用会话中：

  request.getSession().setAttribute("OKTA_ID_TOKEN", 兑换得到的idToken字符串);
  request.getSession().setAttribute("OKTA_ACCESS_TOKEN", 兑换得到的accessToken字符串);
  

• 解析token获取用户信息（请务必使用官方SDK做签名校验，不要直接手动解析未校验的JWT，避免伪造token风险）：

  // 初始化JWT校验器
  JwtVerifier jwtVerifier = JwtVerifiers.createOidcJwtVerifier("你的Okta服务域名");
  // 从会话取ID Token并校验解析
  String idToken = (String) request.getSession().getAttribute("OKTA_ID_TOKEN");
  Jwt jwt = jwtVerifier.decode(idToken);
  // 获取用户属性
  String userUniqueId = jwt.getClaim("sub").toString();
  String email = jwt.getClaim("email").toString();
  // 获取全部用户属性
  Map<String, Object> allUserClaims = jwt.getClaims();
  

• 会话有效性校验：每次接口请求先判断会话中是否存在有效ID Token，若需要强校验Okta侧的会话状态，可调用Okta的token自检接口校验accessToken有效性即可。

通用注意事项 #

• 若需要获取Okta侧最新的用户数据，不要仅依赖ID Token内的缓存属性，可携带accessToken调用Okta的UserInfo接口获取实时用户信息
• 建议将Okta返回的用户唯一标识sub字段与你应用自身的业务用户表做关联，实现Okta认证体系和原有业务体系的适配

内容的提问来源于stack exchange，提问作者AAPJ