如何实现WSO2 IDP自定义登录及Spring+Tomcat SP账号密码授权

我来帮你梳理一下具体的实现步骤，核心是利用OAuth2的Resource Owner Password Credentials Grant（资源所有者密码凭证授权）模式，让你的Spring应用把用户输入的账号密码传给WSO2 IDP完成验证，一步步来：

一、先给WSO2 IDP配置支持密码授权模式 #

首先得确保WSO2允许你的服务提供者（SP）使用密码授权方式：

• 登录WSO2管理控制台，找到服务提供者板块，要么创建一个新的SP，要么编辑你已有的SP
• 进入SP的OAuth/OpenID Connect配置页面，编辑现有客户端配置（如果没有就新建一个）
• 一定要勾选Resource Owner Password Credential这个授权类型
• 保存后，记下生成的Client ID和Client Secret，这俩是后面Spring应用和WSO2通信的身份凭证

二、Spring Web应用（SP）端的具体实现 #

1. 前端做一个登录表单 #

先搞个简单的页面让用户输入用户名和密码，提交到后端接口：

<!-- src/main/resources/templates/login.html -->
<!DOCTYPE html>
<html>
<head>
    <title>登录</title>
</head>
<body>
    <h3>用户登录</h3>
    <form action="/login" method="post">
        <div>
            <label>用户名：</label>
            <input type="text" name="username" required>
        </div>
        <div>
            <label>密码：</label>
            <input type="password" name="password" required>
        </div>
        <button type="submit">登录验证</button>
    </form>
</body>
</html>

2. 后端接口接收参数并调用WSO2的Token端点 #

用Spring Boot的话，写个Controller来处理登录请求，然后调用WSO2的令牌接口完成验证：
首先在Maven的pom.xml里加必要的依赖：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId> <!-- 用来渲染登录页面 -->
    </dependency>
    <dependency>
        <groupId>org.apache.httpcomponents.client5</groupId>
        <artifactId>httpclient5</artifactId> <!-- 处理HTTPS请求 -->
    </dependency>
</dependencies>

然后写Controller代码：

import org.springframework.http.HttpEntity;
import org.springframework.http.HttpHeaders;
import org.springframework.http.MediaType;
import org.springframework.stereotype.Controller;
import org.springframework.util.LinkedMultiValueMap;
import org.springframework.util.MultiValueMap;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.client.RestTemplate;

@Controller
public class LoginController {

    // 替换成你的WSO2地址，默认端口是9443
    private static final String WSO2_TOKEN_ENDPOINT = "https://your-wso2-server:9443/oauth2/token";
    // 替换成你在WSO2里拿到的Client ID
    private static final String CLIENT_ID = "your-sp-client-id";
    // 替换成你在WSO2里拿到的Client Secret
    private static final String CLIENT_SECRET = "your-sp-client-secret";

    // 显示登录页面
    @GetMapping("/")
    public String showLoginPage() {
        return "login";
    }

    // 处理登录请求
    @PostMapping("/login")
    public String handleLogin(@RequestParam String username, @RequestParam String password) {
        // 1. 设置请求头：需要用Client ID和Secret做Basic认证，并且指定参数格式为表单
        HttpHeaders headers = new HttpHeaders();
        headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);
        headers.setBasicAuth(CLIENT_ID, CLIENT_SECRET);

        // 2. 构造请求参数：指定授权类型为password，传入用户名密码，还可以加scope获取用户信息
        MultiValueMap<String, String> requestParams = new LinkedMultiValueMap<>();
        requestParams.add("grant_type", "password");
        requestParams.add("username", username);
        requestParams.add("password", password);
        requestParams.add("scope", "openid profile"); // 要获取用户信息的话加这个scope

        // 3. 组装请求实体
        HttpEntity<MultiValueMap<String, String>> requestEntity = new HttpEntity<>(requestParams, headers);

        // 4. 调用WSO2的Token端点
        RestTemplate restTemplate = new RestTemplate();
        try {
            String tokenResponse = restTemplate.postForObject(WSO2_TOKEN_ENDPOINT, requestEntity, String.class);
            // 这里可以解析返回的令牌信息，比如access_token、id_token
            // 比如把令牌存在Session里，或者跳转到用户主页
            return "redirect:/home?token=" + tokenResponse;
        } catch (Exception e) {
            // 验证失败的话返回登录页面并提示错误
            return "login?error=invalid_credentials";
        }
    }
}

3. 解决WSO2的SSL证书问题（必做） #

WSO2默认用自签名证书，Spring应用调用HTTPS接口会报错，处理方式有两种：

• 测试环境临时方案：禁用SSL证书验证（只适合测试，生产绝对不能用），可以自定义一个忽略SSL的RestTemplate：

private RestTemplate createSslIgnoredRestTemplate() throws Exception {
    // 信任所有证书
    javax.net.ssl.TrustStrategy trustAllStrategy = (chain, authType) -> true;
    javax.net.ssl.SSLContext sslContext = org.apache.http.ssl.SSLContexts.custom()
            .loadTrustMaterial(null, trustAllStrategy)
            .build();
    org.apache.http.conn.ssl.SSLConnectionSocketFactory socketFactory = 
            new org.apache.http.conn.ssl.SSLConnectionSocketFactory(sslContext);
    org.apache.http.impl.client.CloseableHttpClient httpClient = 
            org.apache.http.impl.client.HttpClients.custom().setSSLSocketFactory(socketFactory).build();
    org.springframework.http.client.HttpComponentsClientHttpRequestFactory requestFactory = 
            new org.springframework.http.client.HttpComponentsClientHttpRequestFactory(httpClient);
    return new RestTemplate(requestFactory);
}

然后在handleLogin里用这个自定义的RestTemplate代替默认的。

• 生产环境方案：把WSO2的证书导入到你的应用JVM的信任库，或者在应用里配置信任该证书。

三、验证授权结果 #

如果WSO2验证用户名密码正确，会返回类似这样的响应：

{
  "access_token": "eyJ4NXQiOiJN...",
  "refresh_token": "eyJ4NXQiOiJN...",
  "id_token": "eyJ4NXQiOiJN...",
  "token_type": "Bearer",
  "expires_in": 3600
}

你可以解析id_token（JWT格式）获取用户的基本信息，或者用access_token调用WSO2的/oauth2/userinfo端点获取更详细的用户数据。

四、重要注意事项 #

• 生产环境慎用密码授权模式：这种模式下SP直接获取用户密码，安全性不如Authorization Code Flow（带PKCE），如果是对外的应用，建议换用更安全的授权流程。
• 令牌安全存储：获取到的access_token和refresh_token要妥善存储，比如存在HttpSession里，或者用Spring Security的会话管理机制，不要明文传输或存储。
• 证书管理：生产环境必须使用合法的SSL证书，不能禁用SSL验证，避免中间人攻击。

内容的提问来源于stack exchange，提问作者Soft