keycloak/keycloak

[OID4VCI] Issuance with Authorization Code Flow assumes same client_id for offer creation and redemption

Open

#48.188 geöffnet am 17. Apr. 2026

Auf GitHub ansehen
 (7 Kommentare) (1 Reaktion) (0 zugewiesene Personen)Java (8.346 Forks)batch import
area/oid4vchelp wantedkind/bugpriority/normalstatus/auto-bumpstatus/auto-expireteam/core-protocols

Repository-Metriken

Stars
 (34.398 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 6T 19h) (384 gemergte PRs in 30 T)

Beschreibung

Before reporting an issue

  • I have read and understood the above terms for submitting issues, and I understand that my issue may be closed without action if I do not follow them.

Area

oid4vc

Describe the bug

When testing against the German testing wallet from SPRIND i found, that Keycloak currently assumes the same client_id is used when creating the offer as when fetching it. That assumption is wrong, because the wallet uses its own client to do the authentication flow and subsequently to redeem the offer.

Version

26.6.1

Regression

  • The issue is a regression

Expected behavior

Offer can be fetched using a different client than the one used to create it, if the wallet client is authorized to do so

Actual behavior

invalid_credential_request error with "Unexpected login client"

How to Reproduce?

  • Create offer using client_id app
  • Scan offer QR code
  • Wallet initiates auth code flow using client_id wallet
  • Wallet tries to fetch the offer using client_id wallet

Anything else?

No response

Contributor Guide

Research-Richtung
Verfolgen Sie den Codepfad von der Angebotsvalidierung im Credential Endpunkt, wobei Sie sich darauf konzentrieren, wie client id verglichen wird. Suchen Sie nach dem Fehler 'invalid credential request' und der Logik, die den Client überprüft. Ändern Sie es, um die Einlösung mit einem anderen Client zu ermöglichen, falls autorisiert (z. B. über Bereich oder Vorautorisierung).
Tech Stack
java
Domain
authenticationsecurity
Issue Type
Fehler
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
Halber Tag
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
JavaOID4VCI
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
60