WSO2 APIM 4.2分布式环境搭配Azure负载均衡器登录异常问题

问题概述 #

部署两台虚拟机运行WSO2 API-Manager 4.2实例，均配置以LB地址作为主机名（hostname = "example.site.loadbalancer.com"），并在各实例的/etc/hosts中映射该主机名到自身内部IP。但通过实例内部IP访问Publisher/DevPortal时，会被强制重定向到LB地址，进而出现无效登录页面，日志中抛出会话提交后无法转发/创建会话的异常。

环境配置 #

• WSO2 APIM版本：4.2（含最新更新包，亦测试过4.1.0版本）
• 部署架构：双虚拟机实例 + 前置负载均衡器
• 核心配置：
  • deployment.toml中设置hostname = "example.site.loadbalancer.com"
  • 各实例/etc/hosts添加映射：x.x.x.x example.site.loadbalancer.com（x.x.x.x为实例自身内部IP）

错误日志 #

ERROR {org.apache.catalina.core.ContainerBase.[Catalina].[localhost].[/authenticationendpoint].[oauth2_login.do]} - Servlet.service() for servlet [oauth2_login.do] threw exception java.lang.IllegalStateException: Cannot forward after response has been committed

ERROR - [default] Servlet.service() for servlet [default] in context with path [/authenticationendpoint] threw exception [An exception occurred processing [plugins/basicauth-extensions.jsp] at line [32]
29:         request.setAttribute("errorMsg", AuthenticationEndpointUtil
30:                 .i18n(resourceBundle, "something.went.wrong.contact.admin"));
31:         IdentityManagementEndpointUtil.addErrorInformation(request, e);
32:         request.getRequestDispatcher("error.jsp").forward(request, response);
33:         return;
34:     }
35:     File typingPatternRecorder = new File(getServletContext().getRealPath("plugins/typing-dna.jsp")); 
Stacktrace:] with root cause
java.lang.IllegalStateException: Cannot forward after response has been committed

ERROR - [jsp] Servlet.service() for servlet [jsp] threw exception
java.lang.IllegalStateException: Cannot create a session after the response has been committed

ERROR - [localhost] Exception Processing ErrorPage[exceptionType=java.lang.Throwable, location=/generic-exception-response.jsp]
org.apache.jasper.JasperException: javax.servlet.ServletException: java.lang.IllegalStateException: Cannot create a session after the response has been committed

已尝试无效方案 #

• 修改deployment.toml相关配置试图阻止重定向，未解决问题
• 改为以内部IP作为主机名发布，登录页面恢复正常，但无法通过LB端点调用API
• 测试APIM 4.1.0及两个版本的最新更新包，问题依旧存在
• APIM 3.2.0版本可正常运行，但业务需求需使用最新版本

解决方案 #

1. 配置内部/外部双宿主地址 #

在每个实例的deployment.toml中添加内部主机名配置，区分LB外部地址与实例内部IP：

[server]
hostname = "example.site.loadbalancer.com"
internal_hostname = "x.x.x.x"  # 替换为当前实例的内部IP

[transport.https.properties]
proxyPort = 443  # 若LB使用443端口转发至实例9443，需配置此项

2. 配置Publisher/DevPortal的内外访问地址 #

确保控制台在内部/外部访问时使用对应地址生成重定向链接：

[apim.devportal]
url = "https://${server.hostname}:${server.https.port}/devportal"
internal_url = "https://${server.internal_hostname}:${server.https.port}/devportal"

[apim.publisher]
url = "https://${server.hostname}:${server.https.port}/publisher"
internal_url = "https://${server.internal_hostname}:${server.https.port}/publisher"

3. 配置动态认证回调地址 #

让认证流程根据当前请求的主机生成回调URL，避免强制重定向到LB地址：

[identity.authentication.endpoint]
redirect_url = "https://${carbon.request.host}:${carbon.request.port}/commonauth"

4. 关闭Tomcat规范主机名校验 #

允许Tomcat接受不同主机名的请求，避免会话处理冲突：

[transport.https.tomcat]
useCanonicalHostname = false

配置生效 #

修改完成后重启APIM实例，此时：

• 通过LB地址访问时，重定向与回调均使用LB地址，正常提供API服务
• 通过实例内部IP访问时，重定向与回调自动使用内部IP，登录页面可正常加载使用

问题根源 #

APIM 4.x默认会强制使用deployment.toml中配置的hostname生成所有重定向、回调URL。当通过内部IP访问时，请求主机名与配置的LB地址不一致，认证流程会先发送重定向响应到LB地址，后续又尝试转发请求，触发Cannot forward after response has been committed等会话异常。通过配置双宿主地址与动态回调，让APIM根据请求来源生成对应地址，解决会话冲突问题。

内容的提问来源于stack exchange，提问作者phuria