AEM6.5 Apache Sling认证服务配置失效及全页面登录管控咨询

1. 无需登录即可访问/system/sling/junit/.html的原因 #

• Sling JUnit组件自带权限配置：负责处理/system/sling/junit路径的Sling JServlet，本身可能内置了允许匿名访问的逻辑，它的访问控制不完全受Apache Sling Authentication Service的全局设置约束，而是通过自身的ACLs或者代码逻辑开放了匿名访问权限。
• 其他OSGi认证服务的影响：如果部署了自定义认证过滤器、或者其他Sling认证扩展服务，这些服务可能绕过全局认证要求，专门给/system/sling/junit路径开了匿名访问的口子。
• AEM版本默认权限遗留：部分AEM作者端版本中，匿名用户默认被赋予了/system/sling/junit路径的读取权限，就算全局关闭了匿名访问，这个特定路径的独立ACL依然生效，允许匿名访问。

2. 强制所有页面需登录才能访问的方法 #

• 清理全量匿名用户ACL
  • 打开CRXDE Lite（/crx/de），遍历/content、/system等核心路径，找到所有给anonymous用户配置了读取权限的节点，直接移除这些权限。
  • 用AEM权限管理工具（Tools > Security > Permissions）检查全局权限，确保匿名用户没有任何路径的读取权限。
• 严格配置Sling认证服务
  • 确认Apache Sling Authentication Service的Allow Anonymous Access未勾选。
  • 在Authentication Requirements里添加.*（匹配所有路径），强制所有请求必须认证。如果有必须匿名访问的页面（比如登录页），按- /content/login.html的格式添加例外（减号代表排除认证要求）。
• 排查自定义认证逻辑
  • 进入OSGi控制台（/system/console/configMgr），找所有实现AuthenticationHandler或LoginFilter的自定义服务，检查是否有绕过认证的逻辑，必要时禁用或修改这些服务。
  • 查看Apache Sling Login Whitelist Service的配置，确保没有添加不需要认证的路径。
• 单独限制Sling JUnit路径
  • 针对/system/sling/junit路径，手动添加ACL，明确拒绝匿名用户的访问权限，覆盖组件默认的权限设置。

内容的提问来源于stack exchange，提问作者Zhang Ligao