WSO2 IS-KM：OAuth2密码授权流中能否发送编码密码？

一、密码授权流中发送编码密码的可行性 #

首先，OAuth2官方规范并没有强制要求密码必须以明文形式发送，但这里要明确两个核心点：

1. 编码≠加密：比如Base64这类编码只是将明文转换为另一种格式，没有任何加密效果，所以无论你是否对密码编码，必须通过HTTPS传输请求，否则密码极易被中间人窃取。
2. 服务端兼容性：能否发送编码后的密码，关键取决于你的授权服务器（比如WSO2）是否支持解码并验证这种编码格式。如果服务端默认期望接收明文密码，直接发送编码值会导致验证失败；只有当服务端配置了对应解码逻辑时，才能正常处理。

你的请求示例中将password字段设为编码后的值，这种做法本身是允许的，但前提是要确保授权服务器能正确解码并验证该值。

二、WSO2相关的技术指引 #

假设你使用的是WSO2 Identity Server（WSO2 IS），以下是具体的配置和自定义方案：

1. 默认行为

WSO2 IS的密码授权流默认配置下，期望客户端发送明文密码（务必通过HTTPS传输）。服务端收到明文密码后，会自动与存储的哈希密码（默认采用bcrypt哈希算法）进行比对验证，不需要客户端提前编码。

2. 支持编码密码的自定义方案

如果你的业务场景必须发送编码后的密码，需要自定义密码验证逻辑：

• 编写自定义密码验证器：实现org.wso2.carbon.identity.application.authentication.framework.handler.request.impl.auth.handler.PasswordValidator接口，在验证方法中先对客户端传入的编码密码进行解码（比如Base64解码），再执行后续的哈希比对逻辑。
• 部署并启用验证器：将自定义验证器打包为JAR文件，放入WSO2 IS的repository/components/dropins目录下，然后在管理控制台的Identity > Providers > Resident > Authentication > Password Policies中配置启用该自定义验证器。

3. 基础配置要点

• 确保OAuth2客户端启用password授权类型：在WSO2 IS管理控制台的Applications > OAuth2/OpenID Connect > 你的客户端 > Grant Types中勾选Password选项。
• 身份存储配置：确保用户密码在身份存储（如JDBC、LDAP）中以哈希形式存储，WSO2 IS默认会对明文密码进行哈希处理后存储，这一步无需额外配置。

内容的提问来源于stack exchange，提问作者Barath