如何修改WebLogic 12C上部署的Java应用用户密码

核心逻辑 #

你的应用基于WebLogic安全域完成认证，不管是开发环境的内置安全域，还是生产环境集成的OpenLDAP，都可以通过WebLogic封装的Security API实现密码修改，无需直接对接底层认证源。

步骤1：创建密码修改JSP页面 #

新建changePassword.jsp，包含表单和处理逻辑：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="weblogic.security.Security" %>
<%@ page import="weblogic.security.service.SecurityServiceManager" %>
<%@ page import="weblogic.security.providers.authentication.UserPasswordEditor" %>
<%@ page import="weblogic.security.principal.WLSUserImpl" %>
<%@ page import="javax.naming.NamingException" %>
<%@ page import="java.security.Principal" %>
<html>
<head>
    <title>修改密码</title>
</head>
<body>
    <h3>修改您的密码</h3>
    <% 
        String errorMsg = (String) request.getAttribute("errorMsg");
        if (errorMsg != null) {
    %>
        <p style="color: red;"><%= errorMsg %></p>
    <% } %>
    <% if (!"POST".equalsIgnoreCase(request.getMethod())) { %>
    <form method="post" action="changePassword.jsp">
        <div>
            <label>旧密码：</label>
            <input type="password" name="oldPassword" required>
        </div>
        <div>
            <label>新密码：</label>
            <input type="password" name="newPassword" required>
        </div>
        <div>
            <label>确认新密码：</label>
            <input type="password" name="confirmPassword" required>
        </div>
        <div>
            <button type="submit">提交修改</button>
        </div>
    </form>
    <% } %>

    <%
        if ("POST".equalsIgnoreCase(request.getMethod())) {
            String oldPassword = request.getParameter("oldPassword");
            String newPassword = request.getParameter("newPassword");
            String confirmPassword = request.getParameter("confirmPassword");
            
            // 校验新密码一致性
            if (!newPassword.equals(confirmPassword)) {
                request.setAttribute("errorMsg", "新密码与确认密码不一致");
                request.getRequestDispatcher("changePassword.jsp").forward(request, response);
                return;
            }
            
            // 获取当前登录用户
            Principal userPrincipal = request.getUserPrincipal();
            if (userPrincipal == null) {
                response.sendRedirect("/Login/");
                return;
            }
            String username = userPrincipal.getName();
            
            try {
                // 获取安全域的密码编辑器实例
                UserPasswordEditor passwordEditor = 
                    (UserPasswordEditor) SecurityServiceManager.getSecurityService(
                        Security.getCurrentSecurityContext(), 
                        "UserPasswordEditor"
                    );
                
                // 验证旧密码并更新新密码
                passwordEditor.changePassword(
                    new WLSUserImpl(username), 
                    oldPassword.toCharArray(), 
                    newPassword.toCharArray()
                );
                
                out.println("<p style='color: green;'>密码修改成功！</p>");
            } catch (Exception e) {
                // 捕获旧密码错误、密码不符合安全策略等异常
                request.setAttribute("errorMsg", "密码修改失败：" + e.getMessage());
                request.getRequestDispatcher("changePassword.jsp").forward(request, response);
                return;
            }
        }
    %>
</body>
</html>

步骤2：配置页面访问权限 #

在web.xml中添加安全约束，确保只有已登录用户能访问密码修改页面：

<security-constraint>
    <display-name>Password Change Constraint</display-name>
    <web-resource-collection>
        <web-resource-name>Password Change Page</web-resource-name>
        <url-pattern>/changePassword.jsp</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>MyAppUser</role-name>
        <role-name>MyAppAdmin</role-name>
    </auth-constraint>
</security-constraint>

关键注意事项 #

• API适配性：WebLogic 12C自带UserPasswordEditor，会自动适配当前安全域（内置或LDAP集成），无需额外依赖
• 错误处理：捕获的异常会返回具体原因，比如旧密码错误、新密码不符合安全域的复杂度要求
• 安全加固：生产环境务必通过HTTPS访问该页面，避免密码明文传输；可额外添加密码强度校验逻辑（如长度、大小写组合要求）
• 生产环境验证：只要WebLogic的OpenLDAP认证提供者配置正确，代码无需修改即可直接适配

内容的提问来源于stack exchange，提问作者Hussain Akbar