在Liberty/OpenLiberty中反向查询指定角色对应的用户

问题核心 #

Java EE安全模型仅支持正向校验：判断当前登录用户是否拥有指定角色（通过@RolesAllowed声明式或EJBContext.isCallerInRole()编程式实现）。但实际场景中需要反向查询：针对某个受@RolesAllowed(given-role)保护的操作，列出所有有权执行该操作的用户，用于给操作失败的终端用户提示可求助的人员。

当前环境基于Liberty（OpenLiberty/IBM Liberty），使用ldapRegistry，优先寻求通用注册表方案，退而求其次可接受直接查询LDAP组内用户。

Java EE原生限制 #

Java EE规范本身并未提供反向查询角色对应用户的接口，因为规范聚焦于身份校验与权限控制，而非权限体系的遍历与暴露。

Liberty下的可行方案（替代废弃的getUsersForGroup） #

你之前使用的UserRegistry.getUsersForGroup()已被废弃，Liberty推荐使用getGroupMembers()方法替代，该方法可获取组的所有成员（包括用户和子组），通过递归遍历即可获取组的完整成员闭包。

代码实现 #

import com.ibm.websphere.security.UserRegistry;
import com.ibm.wsspi.security.registry.RegistryHelper;
import java.util.*;

public class RegistryPermissionLookup {

    /**
     * 获取指定组下的所有用户（包含子组递归）
     * @param groupName 目标组名称
     * @return 所有用户的标识符（如LDAP的DN）
     * @throws Exception 注册表访问异常
     */
    public static Set<String> getAllUsersInGroup(String groupName) throws Exception {
        UserRegistry registry = RegistryHelper.getUserRegistry(null);
        Set<String> allUsers = new HashSet<>();
        // 记录已遍历的组，避免循环引用
        Set<String> visitedGroups = new HashSet<>();
        
        traverseGroupMembers(groupName, registry, allUsers, visitedGroups);
        return allUsers;
    }

    private static void traverseGroupMembers(String groupName, UserRegistry registry, 
                                            Set<String> users, Set<String> visitedGroups) throws Exception {
        if (visitedGroups.contains(groupName)) {
            return;
        }
        visitedGroups.add(groupName);

        // 获取组内所有成员（用户+子组）
        UserRegistry.Result memberResult = registry.getGroupMembers(groupName, Integer.MAX_VALUE);
        List<String> members = memberResult.getList();

        for (String member : members) {
            if (registry.isValidUser(member)) {
                users.add(member);
            } else if (registry.isValidGroup(member)) {
                // 递归处理子组
                traverseGroupMembers(member, registry, users, visitedGroups);
            }
        }
    }
}

角色到用户的完整映射处理 #

由于Java EE的逻辑角色与实际用户/组的绑定关系存在间接层（通常配置在Liberty的server.xml或应用的ibm-application-bnd.xml中），要实现从角色到用户的完整映射，需额外两步：

1. 获取角色对应的所有组/用户：通过Liberty的配置API读取应用绑定信息，比如解析application-bnd中的<security-role>配置，提取绑定的组或用户。
2. 遍历所有绑定的组/用户：对每个绑定的组调用上述getAllUsersInGroup()方法，对绑定的用户直接加入结果集，最终合并得到角色对应的所有授权用户。

如果不需要严格的角色映射，直接查询绑定到角色的LDAP组成员，也能满足大部分场景需求。

关于需求少见的原因与安全考量 #

需求少见的原因 #

1. 核心场景聚焦：大多数应用仅需验证当前用户权限，无需暴露整个权限体系的用户列表。
2. 性能开销：遍历大型用户注册表（如企业级LDAP）的组成员，尤其是递归子组，会带来显著的性能损耗。
3. 安全合规限制：很多企业不允许随意暴露用户权限关系，避免信息泄露风险。

安全隐患 #

该操作确实存在安全风险：

• 可能泄露系统的权限结构，被攻击者用于梳理攻击路径。
• 暴露用户列表，违反隐私合规要求（如GDPR）。

因此必须严格控制此功能的访问权限：仅允许管理员或特定授权角色调用，且返回结果需脱敏（如隐藏完整DN，仅展示用户名），同时做好操作审计。

内容的提问来源于stack exchange，提问作者rslemos