Apache Airflow对接IdentityServer4认证出现MismatchingStateError问题求助

1. 配置字段修正 #

你当前配置中name字段填写azure是错误的，该值是Azure AD的预设配置别名，你使用的是自建IdentityServer4，可自定义为任意字符串（例如ids4），需保证后续回调地址与该值对应即可。
修正后的基础配置参考：

OAUTH_PROVIDERS = [{
    'name':'ids4',
    'token_key':'access_token',
    'remote_app': {
        'api_base_url':'<gateway>/',
        'client_kwargs':{
            'scope': 'profile openid email'
        },
        'access_token_url':'<gateway>/connect/token',
        'authorize_url':'<gateway>/connect/authorize',
        'userinfo_endpoint':'<gateway>/connect/userinfo', # 新增用户信息端点
        'request_token_url': None,
        'client_id': 'AIRFLOW_DEMO_CLIENT',
        'client_secret': '<你的客户端密钥>', # 若为机密客户端需补全，公开客户端可保留None
    }
}]

2. MismatchingStateError 报错解决 #

该报错是OAuth授权流程中请求和回调的state参数不匹配导致，按以下步骤排查修复：

• 调整Cookie配置：在webserver_config.py中新增以下配置，避免Cookie被拦截丢失：

SESSION_COOKIE_SECURE = False # 测试环境用HTTP访问时设为False，生产环境HTTPS可设为True
SESSION_COOKIE_SAMESITE = 'Lax'

• 核对IdentityServer4客户端配置：
  • 回调地址需配置为https://<your_airflow_address>/oauth-authorized/ids4，和你配置的name字段完全对应
  • 开启授权码模式（authorization code）支持
  • 若客户端配置了PKCE校验，保持默认即可，无需额外修改；若关闭了PKCE，可在client_kwargs中新增'code_challenge_method': None
• 若上述配置都正确仍报错，可升级flask-appbuilder版本，老版本存在state处理的已知bug：

pip install --upgrade flask-appbuilder

3. IdentityServer4用户信息映射配置 #

要将IdentityServer返回的用户信息同步到Airflow中，需自定义安全管理器重写用户信息解析逻辑，在webserver_config.py中新增以下配置：

from flask_appbuilder.security.manager import AUTH_OAUTH, SecurityManager

AUTH_TYPE = AUTH_OAUTH

# 自定义安全管理器处理用户信息映射
class CustomSecurityManager(SecurityManager):
    def oauth_user_info(self, provider, response=None):
        if provider == 'ids4':
            # 调用IdentityServer用户信息接口获取数据
            res = self.oauth_remotes[provider].get('connect/userinfo')
            user_data = res.json()
            # 字段映射可根据你IdentityServer返回的实际字段调整
            return {
                'username': user_data['sub'],
                'first_name': user_data.get('given_name', ''),
                'last_name': user_data.get('family_name', ''),
                'email': user_data.get('email', ''),
                'role_keys': user_data.get('roles', []) # 若需要同步角色权限可保留
            }

SECURITY_MANAGER_CLASS = CustomSecurityManager

所有配置修改完成后重启Airflow Webserver即可生效。

内容的提问来源于stack exchange，提问作者techrhl