wso2 身份服务器 proxyPort 和跨 wso2is 版本的不同 iss 声明构造答案

【问题标题】：wso2 identity server proxyPort and different iss claim construction across wso2is versionswso2 身份服务器 proxyPort 和跨 wso2is 版本的不同 iss 声明构造
【发布时间】：2021-12-02 17:35:27
【问题描述】：

通常我将 WSO2 身份服务器部署在负载平衡器/代理后面。

使用 WSO2 IS 5.7，我更改了我的 catalina-server.xml，在 HTTPS 连接器中添加了 proxyPort=443 属性，如下所示：

<Connector protocol="org.apache.coyote.http11.Http11NioProtocol"
port="9443"
proxyPort="443"
bindOnInit="false"
sslProtocol="TLS"
sslEnabledProtocols="TLSv1,TLSv1.1,TLSv1.2"
...
/>

我可以看到此更改的效果，因为我从 Identity Server 收到的所有重定向 URI 都不包含 9443 端口。此外，IS 发行的 OIDC 令牌包含 iss 发行者，其值为：mydomain.com:443/oauth2/token，因此使用 443 端口而不是 9443。

但是，在 WSO2 IS 5.10 中，可以在 deployment.toml 中配置此选项，如下所示：

[transport.https.properties]
proxyPort = 443

我只能看到它对重定向 URI 的影响，但不能在 iss 声明仍然具有 9443 端口的 OIDC 令牌中看到：mydomain.com:9443/oauth2/token。

这对我来说不是一个关键问题，因为我可以提前使用此颁发者值配置我的客户/服务提供商，但我想知道在 WSO2IS 5.10 中这是一个期望的行为还是一个错误。

【问题讨论】：

标签： wso2 openid-connect wso2is catalina

【解决方案1】：

当您第一次启动服务器而不设置代理端口时会发生这种情况。因为有些值是持久化到数据库中的，以后即使更改主机名或代理端口也不会更改。

对于颁发者值，您可以转到resident identity provider > inbound authn config > OAuth2/OpenID Connect config 并使用新值更新Identity Provider Entity ID。

【讨论】：