WSO2 Identity Server 5.2.0无法调用客户端证书认证的联合OIDC认证器

你已经确认密钥库本身没问题（独立代码运行正常），但WSO2作为OIDC客户端发起TLS请求时没找到合适的证书，这是因为WSO2的客户端SSL配置需要额外调整，以下是具体的解决步骤：

1. 调整Axis2的HTTPS发送器配置 #

WSO2 IS 5.2.0基于Axis2框架，客户端的SSL请求由PassThroughHttpSSLSender处理，你需要修改repository/conf/axis2/axis2.xml文件：

找到<transportSender name="https" class="org.apache.synapse.transport.passthru.PassThroughHttpSSLSender">节点，确保里面的密钥库和信任库配置指向你导入证书的文件，并且密码正确：

<parameter name="keystore" locked="false">
    <KeyStore>
        <Location>${carbon.home}/repository/resources/security/wso2carbon.jks</Location>
        <Type>JKS</Type>
        <Password>wso2carbon</Password>
        <KeyPassword>wso2carbon</KeyPassword> <!-- 要和客户端证书私钥密码一致 -->
    </KeyStore>
</parameter>
<parameter name="truststore" locked="false">
    <TrustStore>
        <Location>${carbon.home}/repository/resources/security/client-truststore.jks</Location>
        <Type>JKS</Type>
        <Password>wso2carbon</Password>
    </TrustStore>
</parameter>

如果你的客户端证书私钥密码和密钥库密码不同，一定要正确填写KeyPassword，这是很多人容易忽略的点。

2. 强制指定证书别名 #

有时候WSO2无法自动匹配到正确的客户端证书，你可以在同一个HTTPS发送器节点里添加SSLHostConfig参数，强制指定证书别名：

<parameter name="SSLHostConfig">
    <SSLHostConfig>
        <KeyAlias>your-client-cert-alias</KeyAlias> <!-- 替换成你的证书别名 -->
    </SSLHostConfig>
</parameter>

你可以用以下命令查看密钥库中的证书别名：

keytool -list -keystore wso2carbon.jks -v

3. 检查证书的密钥用法和有效期 #

确保你的客户端证书包含Digital Signature和Key Encipherment这两个密钥用法，TLS客户端认证要求证书具备这些权限。另外，确认证书没有过期，过期的证书会被WSO2自动忽略。

4. 自定义认证器代码中显式设置SSL上下文 #

如果你的OIDC认证器是自定义开发的，可能需要在代码里显式加载密钥库并构建SSL上下文，而不是依赖WSO2的默认配置。示例代码如下：

// 加载密钥库
KeyStore keyStore = KeyStore.getInstance("JKS");
keyStore.load(new FileInputStream(System.getProperty("carbon.home") + "/repository/resources/security/wso2carbon.jks"), "wso2carbon".toCharArray());

// 初始化密钥管理器
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(keyStore, "your-key-password".toCharArray());

// 加载信任库
KeyStore trustStore = KeyStore.getInstance("JKS");
trustStore.load(new FileInputStream(System.getProperty("carbon.home") + "/repository/resources/security/client-truststore.jks"), "wso2carbon".toCharArray());

// 初始化信任管理器
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(trustStore);

// 构建SSL上下文
SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

然后将这个SSLContext绑定到你的OIDC客户端请求中，比如设置到HttpClient的配置里。

5. 验证SSL调试日志 #

你已经开启了SSL调试，接下来可以重点查看日志中是否有类似found key for : your-cert-alias的记录，如果有，说明证书已经被正确加载；如果没有，检查密钥库路径、密码或别名是否配置错误。

内容的提问来源于stack exchange，提问作者Sjaak