本地WebLogic运行IBM WorkplaceXT时出现SecurityException异常

问题背景 #

部署WebLogic 12.1.3开发版并成功部署IBM WorkplaceXT的web_client.ear后，使用WebLogic凭据登录localhost:7001/WorkplaceXT时，抛出java.lang.SecurityException: [Security:090398]Invalid Subject: principals=[admin, Administrators]异常；启用跨域安全并创建新用户后，仍抛出类似异常：java.lang.SecurityException: [Security:090398]Invalid Subject: principals=[newuser, CrossDomainConnectors]。尝试添加JACC相关命令行参数时，因参数未指定完整类路径导致报错，单独使用有效参数也无效果。

解决思路与步骤 #

• 补全JACC配置参数的完整类路径
  你之前仅指定了参数名，未提供对应的实现类，导致无法加载配置。需将以下完整参数添加到startWebLogic.cmd的启动命令中：

  startWebLogic.cmd -Djavax.security.jacc.PolicyConfigurationFactory.provider=weblogic.security.jacc.simpleprovider.PolicyConfigurationFactoryImpl -Djavax.security.jacc.policy.provider=weblogic.security.jacc.simpleprovider.SimplePolicy -Dweblogic.security.jacc.RoleMapperFactory.provider=weblogic.security.jacc.simpleprovider.RoleMapperFactoryImpl
  

  这些参数会指定WebLogic使用内置的JACC简单提供器，解决身份主体校验的配置缺失问题。

• 核对安全角色与域的映射配置

  1. 登录WebLogic控制台，找到web_client.ear的部署详情，进入安全配置页签
  2. 确认应用定义的安全角色（如admin、CrossDomainConnectors）已正确映射到WebLogic本地的用户或用户组
  3. 检查应用包内的web.xml和weblogic.xml文件，确保安全约束的角色权限配置无冲突，避免出现角色未授权的情况

• 完善跨域安全信任配置

  1. 若WorkplaceXT需要访问远程FileNet域，需在WebLogic的跨域安全配置中，添加目标FileNet域的信任条目，允许跨域身份主体的传递
  2. 确保CrossDomainConnectors用户组已被赋予跨域访问的权限，且该组下的用户（如newuser）具备访问远程FileNet的必要权限

• 验证JAAS登录模块配置
  检查WorkplaceXT的JAAS配置文件（通常为jaas.conf），确认登录模块指向WebLogic的weblogic.security.auth.login.UsernamePasswordLoginModule，且模块的优先级和配置顺序符合IBM官方文档要求，避免身份验证流程冲突

• 开启调试日志定位细节
  在WebLogic控制台中，将安全日志级别设置为Debug，查看security.log和server.log中的完整异常堆栈。通过日志可以明确异常是发生在身份验证阶段还是授权阶段，是否存在隐藏的配置错误（如权限缺失、域信任未生效等）

内容的提问来源于stack exchange，提问作者Marco Frag Delle Monache