Okta客户端凭证流获取AccessToken成功后无法提取用户信息问题

问题根因 #

• OAuth2 客户端凭证流本身是无用户上下文的授权模式，设计用于机器对机器（M2M）的服务间调用，Okta 基于该流程下发的 AccessToken 不会携带任何用户维度的属性，因此你要提取的uid字段默认不存在于令牌Payload中。
• 你当前使用的JwtAuthenticationToken是对客户端凭证流JWT的正常解析结果，调用token.getTokenAttributes().get("uid").toString();会因为取到null值抛出空指针异常。

解决方案 #

• 若你的业务场景需要获取登录用户信息，更换授权流程为授权码流或带PKCE扩展的授权码流即可，这两类面向用户的授权流程下发的AccessToken会默认携带你在Okta后台配置的用户属性声明，之后即可正常提取uid等用户字段。
• 若必须使用客户端凭证流，可在Okta后台自定义令牌声明，将需要的用户属性绑定到对应应用的客户端凭证流令牌输出规则中，配置完成后按你自定义的声明字段名取值即可。
• 调试时可先将获取到的AccessToken全值复制到本地JWT解析工具查看完整Payload，确认当前令牌实际包含的所有属性，排除字段名拼写错误等低级问题。

内容的提问来源于stack exchange，提问作者Mobitrix Enterprise