如何覆盖Artifactory对接Gitlab私有部署OIDC时发送的Scope参数？

刚好之前帮团队处理过Artifactory对接私有Gitlab做OIDC身份认证的类似问题，给你几个靠谱的解决方案：

1. 通过Artifactory管理UI直接修改Scope #

大部分7.x及以上版本的Artifactory，在OIDC身份提供商的配置界面其实藏着Scope设置项，只是容易被忽略：

• 登录Artifactory管理员后台，进入 Admin > Security > Identity Providers
• 找到你配置的Gitlab OIDC提供商，点击编辑按钮
• 滚动到页面底部的Advanced Settings（高级设置）区域，展开后会看到一个Scope输入框，默认值是openid profile email
• 直接把这个值改成openid read_user，保存配置后再测试登录就可以了

2. 用REST API强制覆盖Scope（适配旧版本Artifactory） #

如果你的Artifactory版本比较老，UI里没有暴露Scope设置项，可以通过API直接修改配置：

1. 先获取当前的Gitlab OIDC提供商配置（需要管理员权限的API密钥）：

   curl -u admin:YOUR_ADMIN_API_KEY "http://your-artifactory-domain/artifactory/api/security/identityProviders/[你的Gitlab提供商名称]"
   

2. 将返回的JSON内容保存到本地文件，找到scope字段，把值替换成openid read_user
3. 把修改后的配置通过PUT请求提交回去：

   curl -X PUT -u admin:YOUR_ADMIN_API_KEY -H "Content-Type: application/json" "http://your-artifactory-domain/artifactory/api/security/identityProviders/[你的Gitlab提供商名称]" -d '@modified-config.json'
   

验证方法 #

修改完成后，尝试从Artifactory跳转登录Gitlab时，用浏览器的开发者工具（Network面板）查看跳转请求的URL，确认scope参数已经变成openid read_user，正常情况下就能直接完成认证，不用再手动修改URL了。

内容的提问来源于stack exchange，提问作者Espen Myhre