wso2 获取用于密码授予的无效凭据的令牌

Question

我正在使用 WSO2 API Manager 和 WSO2 身份服务器的组合，并使用以下文档进行配置 https://docs.wso2.com/display/CLUSTER44x/Configuring+the+Pre-Packaged+Identity+Server+5.2.0+with+API+Manager+2.0.0

在这种情况下，WSO2 身份服务器充当密钥管理器，API 管理器管理范围。

我已经配置并且它的工作。 我尝试使用密码授权，即使我输入错误的用户名和密码，它也会给我一个不记名令牌。感觉好​​像它只检查我在 url 中传递的客户端 ID。

curl -X POST \
  https://mycustomwsourl.in:9443/oauth2/token \
  -H 'authorization: Basic TnVMb0tGRmJlZ3hqUThNeW5uYzlHWmE1bkpBYTpKSzRINmp5M3V4Zl8wNFZNX25lbDhncnJwMm9h' \
  -H 'content-type: application/x-www-form-urlencoded' \
  -H 'grant_type: password' \
  -H 'password: testuser' \ 
  -H 'scope: SCOPE_EDIT SCOPE_READ SCOPE_REMOVE' \
  -H 'username: testuser'

如果我以不同的方式传递客户端代码，则会引发错误。否则它总是返回不记名令牌。

可能是因为身份服务器没有充当密钥管理器吗？有什么配置吗？

Answer 1

这很奇怪。它实际上应该发送一条错误消息，因为您将 grant_type 作为错误的标头发送。所有这些数据都应该像这样在 POST 正文中发送。

curl -k -d "grant_type=password&username=<username>&password=<password>" -H "Authorization: Basic d1U2MkRqbHlEQm5xODdHbEJ3cGxmcXZtQWJBYTprc2RTZG9lZkREUDd3cGFFbGZxdm1qRHVl" -H "Content-Type: application/x-www-form-urlencoded" https://localhost:8243/token

参考：https://docs.wso2.com/display/AM200/Password+Grant