JSF用户在LDAP锁定账户后仍能成功登录问题咨询

我在Liberty 22.0.0.6服务器上部署了JSF 2应用，采用基于LDAP的表单认证（通过j_security_check），正常情况下用户可完成登录认证并获取LTPA2令牌，登出功能也正常。但出现了以下不符合预期的异常流程：

• 用户成功登录
• 用户登出后返回登录页，符合预期
• 用户尝试用错误密码登录，被要求返回登录页重新输入，符合预期
• 重复步骤3
• 重复步骤3，第3次无效尝试后LDAP将用户账户锁定30分钟
• 用户在账户解锁前用正确凭证尝试登录，居然成功——这不符合预期

我认为步骤6中用户不应登录成功，因为LDAP已锁定账户。作为Liberty服务器和JSF新手，我无法理解此问题：LTPA令牌是否被缓存？该如何排查？据了解缓存可能发生在Liberty服务器而非JSF应用中。

排查方向建议 #

1. 检查Liberty认证缓存配置
   Liberty默认开启认证结果缓存，可查看服务器配置文件（如server.xml）中<ldapRegistry>或<webAppSecurity>的缓存相关设置。比如ldapRegistry的cacheEnabled属性默认值为true，缓存过期时间默认600秒。如果LDAP锁定账户后，Liberty仍在使用缓存的有效认证记录，就会出现该异常。可以临时设置cacheEnabled="false"禁用缓存，测试是否还能重现问题。
2. 验证登出时的令牌清理逻辑
   确认登出是否调用了j_security_logout，确保客户端的LTPA Cookie被清除，同时服务器端会话被销毁。如果登出不彻底，可能残留有效令牌，导致后续登录直接复用。
3. 确认LDAP锁定状态的同步机制
   Liberty的LDAP注册表不会实时同步LDAP服务器的账户锁定状态，可检查ldapRegistry的cacheRefreshInterval属性，调整缓存刷新间隔，验证是否能及时获取账户锁定状态。
4. 开启认证日志追踪流程
   在server.xml中添加如下配置开启认证日志：

   <logging traceSpecification="com.ibm.ws.security.*=all:com.ibm.websphere.security.*=all"/>
   

   查看服务器日志（如messages.log），追踪步骤6中登录请求的处理细节，确认Liberty是直接使用缓存结果，还是去LDAP验证了凭证。

内容的提问来源于stack exchange，提问作者pixel