WebSphere Liberty Profile v18.0.0.1 OIDC ID令牌缺失标准声明如何解决？

WebSphere Liberty 默认不会自动把用户注册表中的属性映射到 OIDC 标准声明——哪怕你已经在请求里指定了 profile 范围，也得手动配置映射规则才行。下面是具体的解决步骤：

1. 确认用户注册表存在所需属性 #

首先得确保你的用户数据源（比如LDAP服务器、本地文件注册表）里确实存了 name、family_name、given_name 这些属性，而且Liberty能正常访问到它们。比如用LDAP的话，要检查LDAP过滤器和属性映射配置，确保能拉取到这些用户属性。

2. 配置OIDC声明映射规则 #

在 server.xml 里找到 <openidConnectProvider> 配置块，添加属性映射规则，把用户注册表中的属性对应到OIDC标准声明上。

举个实际配置的例子，如果你的用户注册表中，cn 对应OIDC的 name，sn 对应 family_name，givenName 对应 given_name，配置可以这么写：

<openidConnectProvider id="myOidcProvider"
    issuerIdentifier="https://your-liberty-server/oidc/endpoint/myOidcProvider"
    idTokenAttribute="name:cn, family_name:sn, given_name:givenName, birthdate:birthDate">
    <!-- 保留你已有的其他配置，比如客户端注册、密钥设置等 -->
</openidConnectProvider>

如果还需要在UserInfo端点返回这些属性，可以额外添加 <oidcUserInfoAttribute> 元素：

<openidConnectProvider id="myOidcProvider"
    issuerIdentifier="https://your-liberty-server/oidc/endpoint/myOidcProvider">
    <oidcUserInfoAttribute name="name" userAttribute="cn"/>
    <oidcUserInfoAttribute name="family_name" userAttribute="sn"/>
    <oidcUserInfoAttribute name="given_name" userAttribute="givenName"/>
    <oidcUserInfoAttribute name="birthdate" userAttribute="birthDate"/>
    <!-- 其他已有配置 -->
</openidConnectProvider>

3. 确认profile范围已启用 #

虽然你已经在认证请求里指定了profile范围，但还要检查Liberty的OIDC提供者配置里有没有放开这个范围。确保 <openidConnectProvider> 的 supportedScopes 属性包含 profile：

<openidConnectProvider id="myOidcProvider"
    supportedScopes="openid email profile phone"
    <!-- 其他配置 -->
</openidConnectProvider>

4. 重启Liberty服务器 #

修改完server.xml后，一定要重启WebSphere Liberty实例，让新的配置生效。

5. 测试验证 #

重新发起认证请求，指定openid email profile phone范围，解析返回的ID令牌，应该就能看到name、family_name这些标准声明了。如果还是有问题，可以查看Liberty的messages.log日志，看看有没有属性映射相关的错误（比如找不到用户属性），再针对性调整。

内容的提问来源于stack exchange，提问作者titou10