keycloak - 如何在 Keycloak 中注册自定义 ProtocolMapper？
问题描述
我正在努力在 Keycloak 中注册自定义 ProtocolMapper。我想根据令牌请求从我的数据库中添加一些数据。所以我遵循了Keycloak 中给出的想法，添加了来自数据库/外部源的额外声明。
我实现了 ProtocolMapper 接口并添加了文件
META-INF/services/org.keycloak.protocol.ProtocolMapper
包含对我的班级的引用。到目前为止一切顺利，Keycloak 认可了新的实现。我还可以通过管理控制台对其进行配置。
要向令牌添加一些数据，我认为我还必须添加一个/一些接口
org.keycloak.protocol.oidc.mappers.UserInfoTokenMapper org.keycloak.protocol.oidc.mappers.OIDCIDTokenMapper org.keycloak.protocol.oidc.mappers.OIDCAccessTokenMapper
并根据接口实现方法。
现在的问题是，一旦我添加了接口，我就会收到以下日志消息：
08:55:07,292 ERROR [org.jboss.msc.service.fail] (MSC service thread 1-6) MSC000001: Failed to start service jboss.deployment.unit."keycloak-spi.jar".POST_MODULE: org.jboss.msc.service.StartException in service jboss.deployment.unit."keycloak-spi.jar".POST_MODULE
: WFLYSRV0153: Failed to process phase POST_MODULE of deployment "keycloak-spi.jar"
at org.jboss.as.server.deployment.DeploymentUnitPhaseService.start(DeploymentUnitPhaseService.java:172)
at org.jboss.msc.service.ServiceControllerImpl$StartTask.startService(ServiceControllerImpl.java:2032)
at org.jboss.msc.service.ServiceControllerImpl$StartTask.run(ServiceControllerImpl.java:1955)
at java.util.concurrent.ThreadPoolExecutor.runWorker(Unknown Source)
at java.util.concurrent.ThreadPoolExecutor$Worker.run(Unknown Source)
at java.lang.Thread.run(Unknown Source)
Caused by: java.lang.NoClassDefFoundError: Failed to link at/lotterien/jam/keycloak/spi/JamAuthorizationInfoProtocolMapper (Module "deployment.keycloak-spi.jar" from Service Module Loader): org/keycloak/protocol/oidc/mappers/UserInfoTokenMapper
at sun.reflect.NativeConstructorAccessorImpl.newInstance0(Native Method)
at sun.reflect.NativeConstructorAccessorImpl.newInstance(Unknown Source)
at sun.reflect.DelegatingConstructorAccessorImpl.newInstance(Unknown Source)
at java.lang.reflect.Constructor.newInstance(Unknown Source)
at org.jboss.modules.ModuleClassLoader.defineClass(ModuleClassLoader.java:446)
at org.jboss.modules.ModuleClassLoader.loadClassLocal(ModuleClassLoader.java:274)
at org.jboss.modules.ModuleClassLoader$1.loadClassLocal(ModuleClassLoader.java:77)
at org.jboss.modules.Module.loadModuleClass(Module.java:713)
at org.jboss.modules.ModuleClassLoader.findClass(ModuleClassLoader.java:190)
at org.jboss.modules.ConcurrentClassLoader.performLoadClassUnchecked(ConcurrentClassLoader.java:412)
at org.jboss.modules.ConcurrentClassLoader.performLoadClass(ConcurrentClassLoader.java:400)
at org.jboss.modules.ConcurrentClassLoader.loadClass(ConcurrentClassLoader.java:116)
at java.lang.Class.forName0(Native Method)
at java.lang.Class.forName(Unknown Source)
at java.util.ServiceLoader$LazyIterator.nextService(Unknown Source)
at java.util.ServiceLoader$LazyIterator.next(Unknown Source)
at java.util.ServiceLoader$1.next(Unknown Source)
at org.keycloak.provider.DefaultProviderLoader.load(DefaultProviderLoader.java:60)
at org.keycloak.provider.ProviderManager.load(ProviderManager.java:92)
at org.keycloak.services.DefaultKeycloakSessionFactory.loadFactories(DefaultKeycloakSessionFactory.java:214)
at org.keycloak.services.DefaultKeycloakSessionFactory.deploy(DefaultKeycloakSessionFactory.java:115)
at org.keycloak.provider.ProviderManagerRegistry.deploy(ProviderManagerRegistry.java:42)
at org.keycloak.subsystem.server.extension.KeycloakProviderDeploymentProcessor.deploy(KeycloakProviderDeploymentProcessor.java:55)
at org.jboss.as.server.deployment.DeploymentUnitPhaseService.start(DeploymentUnitPhaseService.java:165)
... 5 more
为什么 Keycloak 找不到自己的接口？不应该开箱即用吗？
我想念什么才能让它发挥作用？
编辑 1
我走得更远了一点。我添加了一个文件
META-INF/jboss-deployment-structure.xml
有内容
<?xml version="1.0" encoding="UTF-8"?>
<jboss-deployment-structure>
<deployment>
<dependencies>
<module name="org.keycloak.keycloak-services"/>
</dependencies>
</deployment>
</jboss-deployment-structure>
现在异常消失了。
不幸的是，我的类中的方法transformUserInfoToken()仍然没有在令牌请求中调用。
任何人都可以把我放在正确的方向吗？
解决方案
它终于奏效了。即使还有一些悬而未决的问题，我也可以实现所需的功能。
我必须实现接口
org.keycloak.protocol.oidc.mappers.OIDCAccessTokenMapper
（而不是org.keycloak.protocol.oidc.mappers.UserInfoTokenMapper）
现在我的transformAccessToken()方法在每个对 URL 的请求上都会被调用http://<host>:<port>/auth/realms/testrealm/protocol/openid-connect/token
我认为问题出在我对 AccessToken、UserInfo 和 IDToken 术语的误解。我认为这三个都是生成的令牌的一部分。但似乎OIDCAccessTokenMapper是将附加信息获取到访问令牌中的唯一方法。
对我来说，剩下的悬而未决的问题是 UserInfo 和 IDToken 将出现在哪里。也许有人可以对此给出答案。