使用WSO2 IS作为密钥管理器的WSO2 API：OAuth授权时出现空指针异常

嘿，我之前在做WSO2 APIM和IS密钥管理器集成的时候也碰到过类似的空指针问题，结合你的场景（APIM 2.1.0 + IS 5.3.0 KM偏移1，外部IdP认证授权），咱们一步步来排查定位：

这是最容易踩坑的地方，尤其是端口偏移后的URL配置：

• 确认APIM中IS KM的服务URL是https://localhost:9444/services/——因为IS偏移了1，默认端口从9443变成9444，千万别写错，而且必须带上/services后缀，否则APIM调用KM接口会失败；
• 检查KM配置的管理员账号：必须是IS KM里拥有Internal/KeyManager角色的用户（默认admin/admin，如果你改了密码要对应），没有这个角色的话，APIM调用KM的令牌接口会返回空响应，直接触发NPE；
• 验证OAuth2令牌端点：配置的应该是https://localhost:9444/oauth2/token，同样要对应偏移后的端口。

如果外部IdP的配置有问题，IS在处理认证响应时很容易抛出NPE：

• 确认外部IdP（不管是SAML还是OIDC类型）已经在IS KM里启用，并且关联到了正确的服务提供者（SP）——这个SP就是APIM对应的客户端，要确保SP的回调URL和APIM里的配置完全一致（比如https://localhost:8243/authorize）；
• 检查SP的认证流程：在IS KM的SP配置里，Local & Outbound Authentication Configuration要选择Federated Authentication，并指定你添加的外部IdP为优先认证选项，不然IS还是会走本地认证流程，和你的预期不符；
• 确认外部IdP返回的用户属性：必须包含username这个必填属性，如果缺失的话，IS在生成令牌时找不到用户标识，就会触发NPE。

日志是定位问题的关键，别光看报错提示，要找完整的堆栈：

• 打开APIM的repository/logs/wso2carbon.log和IS KM的repository/logs/wso2carbon.log，搜索NullPointerException；
  • 如果NPE出现在APIM调用KM的令牌接口阶段：大概率是KM返回了空响应，要么是KM本身处理失败，要么是APIM和KM之间的通信有问题；
  • 如果NPE出现在IS KM处理外部IdP的认证响应阶段：那就要检查IdP的配置，比如断言消费者URL（ACS）配置错误、签名证书没导入导致无法验证断言，或者用户存储关联缺失（比如外部IdP的用户没有映射到IS的用户存储）。
• 我之前碰到过的一个案例：外部IdP没有配置用户存储关联，认证后IS找不到对应的用户对象，直接抛出了NPE，把IdP和本地用户存储做关联后就解决了。

先把外部IdP排除，验证KM本身的功能是否正常：

• 用IS KM的本地用户，调用密码模式获取令牌：

  curl -k -d "grant_type=password&username=本地用户名&password=密码&client_id=你的APP客户端ID&client_secret=客户端密钥" -H "Content-Type: application/x-www-form-urlencoded" https://localhost:9444/oauth2/token
  

  如果这个请求能成功返回令牌，说明KM本身没问题，问题肯定出在外部IdP的集成上；
• 如果本地用户也触发NPE：那就要检查APIM和KM之间的双向信任——APIM的repository/resources/security/client-truststore.jks必须导入IS KM的证书，IS KM的信任库也要导入APIM的证书，双向信任缺失会导致通信失败，返回空响应触发NPE。

WSO2 APIM 2.1.0和IS 5.3.0 KM的组合是官方支持的，但有些已知的NPE问题可以通过补丁解决，你可以查看对应版本的官方补丁列表，有没有针对OAuth集成或密钥管理器的补丁，覆盖你遇到的场景。

内容的提问来源于stack exchange，提问作者gusto2