WSO2自定义Claim Handler在password授权类型下未被调用问题

我之前也碰到过一模一样的情况，WSO2 IS里不同OAuth2授权类型的Claim处理流程确实有差异。authorization_code授权码流程会走完整的用户认证、授权环节，默认会触发配置好的Claim Handler链；但password授权类型是直接通过令牌端点验证用户凭证后生成JWT，默认流程里并没有调用自定义Claim Handler的步骤，这就是你的自定义Claim没出现在返回JWT里的原因。

下面给你几个可行的解决方案：

方案一：自定义OAuth2TokenGenerator扩展令牌生成流程 #

这是最直接的方式，通过扩展默认令牌生成器，在生成ID Token时主动调用你的自定义Claim Handler：

1. 创建自定义类继承org.wso2.carbon.identity.oauth2.token.DefaultOAuth2TokenGenerator
2. 重写generateIDToken方法，在方法里获取当前用户的Claim集，调用自定义Claim Handler添加字段后再生成ID Token：

@Override
public OAuth2TokenReqMessageContext generateIDToken(OAuth2TokenReqMessageContext tokReqMsgCtx) throws IdentityOAuth2Exception {
    // 获取现有Claim集合
    Map<String, Object> claims = tokReqMsgCtx.getOauth2AccessTokenReqDTO().getAuthorizationGrant().getUserAttributes();
    
    // 调用自定义Claim Handler处理Claim
    CustomClaimHandler customClaimHandler = new CustomClaimHandler();
    customClaimHandler.handleClaimMappings(claims, tokReqMsgCtx);
    
    // 继续执行默认ID Token生成逻辑
    return super.generateIDToken(tokReqMsgCtx);
}

3. 在<IS_HOME>/repository/conf/identity/identity.xml中配置这个自定义生成器，替换默认的ID Token生成器：

<OAuth2>
    <TokenGenerators>
        <TokenGeneratorImpl class="com.yourcompany.CustomOAuth2TokenGenerator" type="id"/>
    </TokenGenerators>
</OAuth2>

方案二：使用IdentityEventListener监听令牌生成事件 #

通过监听令牌生成的后置事件，在令牌生成后注入自定义Claim：

1. 创建类实现org.wso2.carbon.identity.core.handler.AbstractIdentityHandler和org.wso2.carbon.identity.core.event.IdentityEventListener
2. 重写handleEvent方法，监听POST_TOKEN_GENERATION事件，针对password grant类型的请求添加自定义Claim：

@Override
public void handleEvent(IdentityEvent identityEvent) throws IdentityEventException {
    if ("POST_TOKEN_GENERATION".equals(identityEvent.getEventName())) {
        OAuth2TokenReqMessageContext tokReqMsgCtx = (OAuth2TokenReqMessageContext) identityEvent.getEventProperties().get("oauth2TokenReqMessageContext");
        if (tokReqMsgCtx.getOauth2AccessTokenReqDTO().getGrantType().equals("password")) {
            // 获取ID Token的Claim集合
            Map<String, Object> claims = tokReqMsgCtx.getIdToken().getClaims();
            // 添加自定义Claim
            claims.put("custom_claim_key", "custom_claim_value");
            tokReqMsgCtx.getIdToken().setClaims(claims);
        }
    }
}

3. 在<IS_HOME>/repository/conf/identity/identity.xml中注册这个监听器：

<EventListeners>
    <EventListener type="org.wso2.carbon.identity.core.event.IdentityEventListener" name="com.yourcompany.CustomTokenEventListener" orderId="10" enable="true"/>
</EventListeners>

方案三：检查并完善Service Provider的Claim配置 #

确保你已经正确配置了服务提供商的Claim映射：

• 登录WSO2 IS管理控制台，进入Service Providers > 你的服务提供商 > Claim Configuration
• 在Requested Claims中添加你的自定义Claim，设置为Supported或Mandatory
• 确认Local & Outbound Authentication Configuration里的认证流程没有跳过Claim处理环节

另外还要确认自定义Claim Handler已经正确注册到Claim处理链，在<IS_HOME>/repository/conf/identity/application-authentication.xml的<ClaimHandlers>节点下添加：

<ClaimHandler>org.wso2.carbon.identity.application.authentication.framework.handler.claim.impl.DefaultClaimHandler</ClaimHandler>
<ClaimHandler>com.yourcompany.CustomClaimHandler</ClaimHandler>

完成以上配置后重启WSO2 IS，再测试password授权类型的请求，应该就能在返回的JWT里看到你的自定义Claim了。

内容的提问来源于stack exchange，提问作者Rak2018