使用Spark+pac4j对接WSO2IS 5.0.0时Access Token始终无效

我之前做类似集成时也踩过WSO2 IS的OAuth2坑，授权码流程走到换Token这步失败，大概率是几个常见配置细节没对齐，咱们一步步来排查：

1. 先确认重定向URI的严格匹配 #

WSO2 IS对redirect_uri的匹配要求近乎苛刻，任何细微差异都会导致授权码被判定无效：

• 检查你应用请求授权时带的redirect_uri=bar，和WSO2 IS客户端配置页面里填写的地址是否完全一致？包括协议（http/https）、域名、端口、路径，甚至末尾的斜杠都不能差。比如你应用里用http://localhost:8080/callback，WSO2里就不能写成http://localhost:8080/callback/。
• 如果有多个环境（开发/测试），要确保每个环境的redirect_uri都在WSO2里配置正确，别混用。

2. 验证客户端凭证的传递方式 #

WSO2 IS 5.0.0要求换Token时必须正确传递客户端凭证，pac4j的默认配置可能和WSO2的要求不匹配：

• WSO2支持两种凭证传递方式：一是通过Authorization请求头的Basic Auth（把client_id:client_secret做Base64编码后填入），二是在POST请求体里直接携带client_id和client_secret参数。
• 你可以先用curl手动模拟换Token请求，排除pac4j的干扰：

  curl -X POST \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=authorization_code&code=YOUR_AUTH_CODE&redirect_uri=bar&client_id=foo&client_secret=YOUR_CLIENT_SECRET" \
    https://your-wso2-is-domain/oauth2/token
  

  如果curl能拿到有效Token，那就是pac4j的配置没正确传递凭证，需要调整pac4j的客户端配置，指定凭证的传递方式。

3. 检查OIDC和Scope相关配置 #

你请求里带了scope=openid，说明是走OpenID Connect流程，WSO2 IS这边的OIDC开关是否开启？

• 登录WSO2 IS的管理控制台，找到你的客户端配置，确认是否勾选了Enable OAuth2 OpenID Connect选项。
• 另外，授权码的有效期很短（默认只有5分钟），是不是你发起换Token请求时，授权码已经过期了？可以在用户点击同意后立刻触发换Token请求，排除过期问题。

4. 排查pac4j的适配和日志 #

pac4j对WSO2 IS的支持可能需要特定配置，或者版本兼容性问题：

• 确认你使用的pac4j版本和WSO2 IS 5.0.0兼容，旧版本的pac4j可能无法正确解析WSO2返回的Token响应。可以查看换Token的响应体，是否是标准的JSON格式，包含access_token、token_type、expires_in等字段。
• 开启pac4j的Debug日志，查看换Token过程中的详细错误信息，比如是否有解析异常、请求参数缺失等情况。日志里通常会明确给出失败原因。

5. 确认Token端点的正确性 #

最后检查下pac4j配置的Token端点地址是否正确，WSO2 IS 5.0.0的Token端点是/oauth2/token，要确保地址里的协议（http/https）、域名、端口都和WSO2的实际部署一致，别出现协议不匹配或者路径写错的情况。

如果以上步骤都排查过，还是有问题，建议抓包看换Token请求的完整响应，WSO2通常会返回error和error_description字段，根据这些信息能更快定位问题。

内容的提问来源于stack exchange，提问作者mthmulders