spring 用于访问令牌实现的安全 openid 连接请求与 CAS api 要求不一致

Question

我正在通过授权代码流的 openid 连接将 Spring 安全性与 CAS 集成。 根据openid连接协议，有以下步骤：

1. ……
2. 浏览器从 OpenID Provider 获取身份验证和代码
3. 浏览器将代码发送给客户端
4. 客户端向 OpenID 提供者发出令牌请求以获取访问令牌。
5. ……

问题发生在第 4 步。Spring 安全提出请求并将授权类型、代码信息放入正文而不是 url。 但 CAS 要求将代码信息放入 url。 【授权码CAS API】

有没有人有这种情况的经验？ 任何建议表示赞赏

Answer 1

在初始身份验证请求期间，您可以使用response_mode参数控制将代码传递给客户端的方式。

它指定了用于将生成的授权代码发送回您的应用程序的方法。 可以是form_post或fragment 。 对于 web 应用程序，我们建议使用 response_mode=form_post，以确保最安全地将令牌传输到您的应用程序。