适用版本： 7.x-8.x
1. 错误异常的基本描述 #
Token Response did not contain an ID Token or parsing of the JWT failed. 表示 Elasticsearch 在完成 OIDC（OpenID Connect）授权码交换后，无法从 Token Endpoint 的响应中拿到一个可解析的 ID Token JWT。该异常属于 Elasticsearch 安全模块中的身份认证失败类异常，通常发生在用户通过 OIDC Realm 登录的最后阶段。
当 Elasticsearch 收到 Token Endpoint 返回的 JSON 响应后，会尝试从中提取 id_token 字段并将其解析为 JWT（JSON Web Token）。如果响应中不存在 id_token，或者 id_token 的内容不是合法的 JWT 结构，就会触发此异常，导致用户登录失败。
常见现象 #
- 用户在浏览器中完成 IdP（身份提供商）授权后，被重定向回 Elasticsearch/Kibana 时看到登录失败或白屏。
- Elasticsearch 日志中出现
ElasticsearchSecurityException: Token Response did not contain an ID Token or parsing of the JWT failed.。 - Kibana 返回 401/500 错误，用户无法正常进入系统。
- 在 OAuth2 流程中，授权码交换请求本身返回 HTTP 200，但后续身份验证仍失败。
- 该异常常伴随
ParseException、java.lang.IllegalArgumentException或 JWT 解码错误一同出现。
典型报错与异常栈 #
org.elasticsearch.ElasticsearchSecurityException: Token Response did not contain an ID Token or parsing of the JWT failed.
at org.elasticsearch.xpack.security.authc.oidc.OpenIdConnectAuthenticator.verifyIdToken(OpenIdConnectAuthenticator.java:XXX)
at org.elasticsearch.xpack.security.authc.oidc.OpenIdConnectAuthenticator.authenticate(OpenIdConnectAuthenticator.java:XXX)
Caused by: java.text.ParseException: Missing id_token in token response
...
2. 为什么会发生这个错误 #
该异常的根本原因是 Elasticsearch 期望从 Token Endpoint 获取一个符合 OIDC 规范的 ID Token（JWT 格式），但实际收到的响应不满足要求。
常见原因通常包括：
- IdP 未启用 OIDC 协议，仅支持纯 OAuth2：部分身份提供商（如老旧版本的 LDAP、SAML 桥接、或只配置了 OAuth2 授权的应用）返回的 Token 响应中只有
access_token，没有id_token。OIDC 是在 OAuth2 基础上扩展的协议，明确要求返回id_token。 - Token 响应中
id_token字段存在但内容非法：JWT 由 Header、Payload、Signature 三段 Base64URL 编码的字符串用.连接而成。如果 IdP 生成的 JWT 缺少段、段内容不是合法 Base64URL、或者签名部分被截断，解析就会失败。 - 中间代理或网关改写了响应内容：企业环境中常见的 API Gateway、Nginx、WAF、或者 SSL 卸载设备，可能在转发 Token Endpoint 响应时对 JSON 做了不必要的转义、压缩、或字符集转换，导致
id_token字段值被破坏。 - IdP 应用配置错误：在 IdP 侧创建 OIDC 应用时，未正确配置
scope（缺少openid）、response_type（未设置id_token或code）、或grant_type不匹配，导致 IdP 按照纯 OAuth2 流程返回，不生成 ID Token。 - Elasticsearch OIDC Realm 配置与 IdP 不匹配：例如
op.issuer、op.token_endpoint配置错误，导致 Elasticsearch 向错误的端点发起请求，拿到了格式意外的响应。
3. 如何排查和解决这个异常 #
建议按以下顺序进行排查：
抓取 Token Endpoint 的原始响应：在 Elasticsearch 节点上使用
curl或浏览器开发者工具，在授权码交换阶段抓取完整的 JSON 响应，确认是否包含id_token字段。# 模拟 Token Endpoint 请求，查看原始响应 curl -X POST "https://your-idp.com/oauth2/token" \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "grant_type=authorization_code" \ -d "code=YOUR_AUTH_CODE" \ -d "redirect_uri=https://your-es/kibana" \ -d "client_id=YOUR_CLIENT_ID" \ -d "client_secret=YOUR_CLIENT_SECRET" | jq .检查响应中是否存在
id_token：如果响应中只有access_token和token_type，说明 IdP 没有按 OIDC 协议返回 ID Token，需要检查 IdP 的 OIDC 配置。手工解码
id_token：如果id_token存在，将其三段分别用 Base64URL 解码，确认结构完整、JSON 合法。# 解码 JWT Payload（中间段） echo "YOUR_ID_TOKEN" | cut -d. -f2 | base64 -d | jq .检查 Elasticsearch OIDC Realm 配置：确认
elasticsearch.yml中 OIDC Realm 的op.issuer、op.token_endpoint、rp.client_id、rp.response_type等配置与 IdP 侧一致。xpack.security.authc.realms.oidc.oidc1: order: 1 rp.client_id: "your-client-id" rp.response_type: "code" op.issuer: "https://your-idp.com" op.token_endpoint: "https://your-idp.com/oauth2/token" op.userinfo_endpoint: "https://your-idp.com/oauth2/userInfo" op.endsession_endpoint: "https://your-idp.com/logout" rp.redirect_uri: "https://your-es/kibana/api/security/oidc/callback"检查 IdP 侧的 Scope 配置：确保 OIDC 应用配置了
openidscope（通常还需要profile、email），否则 IdP 不会返回 ID Token。
排查时需要注意的问题 #
- 不要只看 Elasticsearch 的异常文案，必须直接检查 Token Endpoint 的原始 HTTP 响应体，才能判断是"缺少字段"还是"字段内容非法"。
- 如果企业网络中有代理或 WAF，尝试绕过它们直接访问 IdP，排除中间设备改写响应的可能性。
- 注意区分 OAuth2 和 OIDC：如果 IdP 文档只提到 OAuth2，需要先确认它是否支持 OIDC，否则需要更换认证方案。
4. 如何解决这个错误 #
常用修复思路 #
- 确保 IdP 已启用 OIDC 协议：在 IdP 侧（如 Keycloak、Okta、Auth0、Azure AD）确认应用类型配置为 OIDC，而非纯 OAuth2 或 SAML。
- 添加
openidscope：在 Elasticsearch OIDC Realm 配置或 IdP 应用配置中，确保授权请求包含openidscope，这是触发 IdP 返回id_token的必要条件。 - 修复中间代理的响应改写问题：检查 Nginx、API Gateway、WAF 的响应处理规则，避免对
application/json类型的响应做不必要的字符集转换或内容改写。 - 升级或修复 IdP 的 JWT 生成逻辑：如果
id_token存在但解析失败，且确认不是传输问题，则需要联系 IdP 管理员或升级 IdP 版本，修复 JWT 生成实现。
后续注意事项与推荐建议 #
- 在测试环境先用
curl+jq完整验证 IdP 的 Token Endpoint 响应格式，确认无误后再配置到 Elasticsearch 生产环境。 - 建议对 OIDC 登录流程建立监控：记录每次授权码交换的成功/失败状态，以及
id_token的签发者和过期时间，便于快速定位间歇性故障。 - 定期审查 IdP 和 Elasticsearch 两端 OIDC 配置的对应关系，特别是在 IdP 升级或证书轮换之后。
借助 INFINI 产品提升排障效率 #
- INFINI Console 适合查看 Elasticsearch 集群安全状态、节点日志、错误趋势和请求画像，帮助快速判断 OIDC 认证失败是配置问题还是网络问题。
- INFINI Gateway 适合部署在 Elasticsearch 前面做请求观测、流量治理和调试代理，可直接捕获和记录 OIDC 流程中的 HTTP 请求/响应内容，无需在生产节点上抓包。
- 建议将 Elasticsearch 安全日志、OIDC 错误事件和 IdP 审计日志统一接入监控面板，缩短从"用户登录失败"到"定位根因"的时间。
5. 小结 #
Token Response did not contain an ID Token or parsing of the JWT failed. 这个异常直接指向 OIDC 认证流程中 ID Token 的缺失或格式错误。排查时应优先拿到 Token Endpoint 的原始响应，确认 id_token 字段是否存在且为合法 JWT，然后再检查 Elasticsearch 和 IdP 两端的配置一致性。只要把 OIDC 协议要求和两端配置对应关系理清楚，这类问题通常可以快速定位并修复。
相关错误 #
附：日志上下文 #
下面保留当前页面中的源码或日志片段，便于继续结合异常调用栈定位问题：
claimsListener.onFailure(
new ElasticsearchSecurityException("Token Response did not contain an ID Token or parsing of the JWT failed.")
);
