WSO2是和JWT令牌

我有如下的安全用例，正在考虑使用WSO2身份服务器-

应用程序需要使用来自WSO2 Identity Server的身份验证服务。应用程序接受用户/密码。使用这些凭据，应用程序需要对WSO2 Identity Server进行API调用，如果用户是有效用户，WSO2 Identity Server需要使用有效的JWT令牌和声明进行回复。（用户被装载到Identity Server中的一个用户存储。）

---

我可以使用WSO2 Identity Server来支持此用例吗

根据您的描述，客户端本身将询问用户资源所有者的用户名和密码，而不是将用户重定向到授权服务器。然后，客户端将这些凭据连同客户端自己的凭据（客户端id和客户端机密）一起发送到授权服务器。然后授权服务器（WSO2 IS）将为JWT令牌提供请求的声明。这在WSO2 Identity Server中是可能的

请参阅：

要设置样本，请执行以下操作：

要使用示例尝试密码授予，请执行以下操作：

应用程序需要使用来自WSO2 Identity的身份验证服务 服务器。应用程序接受用户名和密码

您正在使用应用程序，用户可以使用用户名和密码对应用程序进行身份验证。该用户存在于Identity server的userstore中。如果用户存在于IS中，IS可以充当身份提供者并对用户进行身份验证

如果用户是有效用户，WSO2 Identity Server需要回复 使用有效的JWT令牌和声明

WSO2支持不同的协议。如果服务提供商使用OpenID Connect，一旦用户通过身份验证，就会向服务提供商发送一个ID令牌（连同访问令牌）。此ID标记是一个JWT标记，它包含header.body.signature，而body包含声明。在OpenID Connect中，应用程序可以根据需求使用不同的授权类型授权代码、隐式和混合流可用于对用户进行身份验证，并将用户声明作为JWT令牌和访问令牌

WSO2 Identity Server通过OpenID Connect支持所有这些授予类型。当用户通过应用程序进行身份验证时，WSO2身份服务器将向应用程序发送JWT令牌

---

有关WSO2 IS中OpenID Connect身份验证的进一步参考，请参阅此文档。也请参考此规范。

感谢您的回复，是否需要进行特定设置以生成JWTtoken及其格式（header.payload.secret）？在本文档的deploying-playground2-webapp->Configuring Service Provider下，您可以选择令牌类型。如果需要JWT，请将其选择为JWT。有关令牌中的用户信息，请参阅本文档中的“请求索赔”部分。我正在浏览上面的链接，我可以看到响应的格式如下。我正在浏览上面提到的链接，我可以看到上面提到的示例响应的格式如下。”{“token_type”：“Bearer”，“expires_in”：2510，“refresh_token”：“5ba3dedc77581df5f84f9b228eef0b91”，“access_token”：“CA19A540F5447777860E44E75F605D927”}。这不是JWT格式的头文件。B.签名。WSO2中是否有以JWT格式获取响应的配置？您应该将scope=openid作为请求参数发送。非常感谢您的响应。但我的要求很简单，我们正在评估使用WSO2IAM作为统一的用户存储，其中我们从公司AD映射用户存储，以及db存储等。我们将引入一个应用程序，该应用程序不具备从AD或数据库对用户进行身份验证的能力。其思想是将用户和密码传递给WSO2IAM服务器，WSIAM服务器从AD用户存储验证此用户，并回复JWT令牌和声明。WSO2IAM可以公开两个api，一个用于访问令牌，另一个用于刷新令牌。我在哪里可以看到这个usecaseYes的WSO2 API的简单文档。这可以通过使用OpenID Connect的WSO2 identity server完成。应用程序不需要对用户进行身份验证。Identity server对用户进行身份验证。一旦用户是有效用户，Identity Server的令牌端点将发出JWT ID令牌以及访问令牌和刷新令牌。您不需要两个API。令牌端点将返回令牌响应中的所有令牌。