自定义SAML集成Hybris与Spartacus时OAuth Token被吊销问题咨询

问题根因 #

你当前遇到的令牌自动被清空问题，核心原因是直接手动修改Spartacus在localStorage中的auth存储字段，没有同步更新Spartacus内部的AuthState状态，Spartacus自带的OAuth认证模块检测到内部状态与存储数据不匹配时，会自动触发异常令牌吊销流程，清空存储的access_token。

问题1：自定义控制器生成OAuth令牌时，Spartacus设置access_token的正确方式 #

不要直接操作localStorage读写Spartacus的认证字段，必须使用Spartacus官方提供的认证服务同步状态和存储，步骤如下：

1. 在你的组件/服务中注入AuthService、AuthStorageService两个核心认证服务
2. 调用自定义接口拿到令牌信息后，使用AuthService.authorizeWithToken()方法传入标准令牌结构，Spartacus会自动同步内部状态、完成持久化存储，不会触发异常吊销
3. 令牌的过期时间需要根据接口返回的expires_in字段动态计算，不要硬编码固定值

修正后的参考代码： #

import { AuthService } from '@spartacus/core';
import { take } from 'rxjs/operators';

constructor(private authService: AuthService, private http: HttpClient, private cookieService: CookieService) {}

ngOnInit() {
  // 先从AuthService拿当前认证状态，不要直接读localStorage
  this.authService.isUserLoggedIn().pipe(take(1)).subscribe(isLoggedIn => {
    const loginToken = this.cookieService.get('LoginToken');
    
    if (!isLoggedIn && !loginToken) {
      console.log("调用自定义接口获取OAuth令牌");
      const fetchUrl = 'https://localhost:9002/occ/v2/{baseSite}/ssoauthenticate/?client_id=mobile_android';
      this.http.post<any>(fetchUrl, "", { withCredentials: true }).subscribe(data => {
        // 调用官方方法设置令牌
        this.authService.authorizeWithToken({
          access_token: data.value,
          token_type: data.tokenType,
          expires_in: data.expiresIn,
          scope: data.scope,
          refresh_token: data.refreshToken || null // 如果有刷新令牌也一并传入
        });
      });
    }

    if (!isLoggedIn && loginToken) {
      console.log("跳转到SSO登录");
      window.location.href = "https://localhost:9002/samlsinglesignon/saml/sso/";
    }
  });
}

问题2：更合适的Spartacus access_token生成与持久化方案 #

• 优先适配Spartacus原生的OIDC认证流程：你的IDP是OKTA，原生支持OpenID Connect协议，不需要自定义SAML对接逻辑，直接配置Spartacus的AuthConfig，将认证流设置为authorization_code模式，填入OKTA对应的OIDC端点、client_id等配置即可，Spartacus原生模块会自动完成令牌的获取、刷新、持久化、吊销全流程，不需要自定义代码。
• 如果必须保留现有SAML自定义流程：建议自定义实现Spartacus的AuthenticationStrategy接口，替换原生的认证逻辑，从流程层面完全接管令牌的生成、校验、过期刷新逻辑，避免自定义逻辑和原生认证模块的状态冲突。
• 所有认证存储操作统一使用Spartacus提供的AuthStorageService，不要直接读写localStorage，适配不同版本Spartacus的存储结构变更，避免版本升级后自定义代码失效。

内容的提问来源于stack exchange，提问作者Keshav