我正在为我们的SSO难题寻找配件。
目前，我们在WSO2身份提供商后面有一个OpenLDAP。客户端（服务提供商）将授权重定向到IP（OAuth2）并接收access_token。
一切都很好。
下一步是在另一个服务提供商上验证此令牌，在这种情况下是驻留在另一个EC2实例上的反向代理（Apache或Nginx），它保护了许多未受保护的第三方应用程序（第三方，我们可以＆ ＃39;触摸源代码，但主办我们自己）。哪些工具可以满足此要求？
我知道OAuth2规范在这里留下了中断，并且有草稿添加/introspect调用来验证此令牌。我也知道pingidentity将此草案作为Apache模块（https://github.com/pingidentity/mod_auth_openidc）的一部分来实现。
我只是想知道如何在WSO2-IS方面实现这一点，因为我找不到文档。
*奖励：我们在部署WSO2（SQL错误）和使用它（https://wso2.org/jira/browse/IDENTITY-3009）时遇到了一些错误，这使我们对产品有点不信任。
答案 0 :(得分：1)
Oauth2令牌验证可以通过对
的SOAP调用来执行{WSO2_IS}/services/OAuth2TokenValidationService.OAuth2TokenValidationServiceHttpsSoap11Endpoint/
回复将包括有关令牌有效性和JWT声明的详细信息。