无法获取登录用户所属组信息：如何从Okta生成的JWT令牌中提取用户组

你的实现思路是正确的，无法获取组信息是因为Okta默认不会将用户组字段写入JWT令牌的Claims中，需要额外在Okta管理后台做配置，操作步骤如下： #

1. 配置Okta授权服务器自定义声明 #

• 登录Okta管理后台，进入「安全」-「API」菜单，选择你当前使用的默认授权服务器（对应配置中/oauth2/default的实例）
• 切换到「Claims」标签页，点击「Add Claim」新增声明
• 按以下参数配置：
  • 名称：自定义为groups即可
  • 令牌包含类型：勾选ID Token，如有需要也可同时勾选Access Token
  • 值类型：选择「Groups」
  • 过滤规则：按需配置，如需返回用户所有所属组，选择正则匹配并填.*即可
  • 适用范围：选择你当前使用的客户端应用，或选择所有应用
• 保存配置

注意：只有使用Okta自定义授权服务器（路径带/oauth2/{授权服务器标识}，你当前配置的default属于自定义授权服务器）支持添加自定义声明，如果你切换为Okta组织默认授权服务器（无/default后缀）则无法配置该字段 #

2. 验证配置生效 #

重新发起登录流程获取新的JWT令牌，可先将令牌粘贴到JWT解码工具中查看是否已包含groups字段，确认配置生效 #

3. Spring端代码调整 #

配置生效后你原有代码不需要大幅修改，直接从Claims中提取groups字段即可，示例如下：

@RequestMapping("/")
public String hello(@AuthenticationPrincipal OidcUser user){
    // 提取用户所属组，返回值为字符串数组，元素为组名/组ID，可在Okta声明配置处调整返回属性
    List<String> userGroups = (List<String>) user.getClaims().get("groups");
    // 原有逻辑...
    StringBuilder sb = new StringBuilder();
    for (Map.Entry<String, Object> entry : user.getClaims().entrySet()) {
        sb.append(entry.getKey() + ":" + entry.getValue().toString());
        sb.append("\n");
    }
    sb.append("|");
    sb.append(user.getClaims());
    return sb.toString();
}

内容的提问来源于stack exchange，提问作者EagerLearner