WSO2 APIM 4.1.0：如何无需审批即可禁用特定用户的应用创建权限？

可以针对选定用户禁用创建应用权限，除了依赖审批工作流的方式，还有以下几种直接生效、无审批任务的方案：

1. 基于角色的权限控制（推荐） #

WSO2 APIM的权限与角色强绑定，默认普通用户自带Internal/subscriber角色，该角色包含创建应用的权限。我们可以通过调整角色权限来实现限制：

• 给需要限制的用户移除Internal/subscriber角色，或者创建一个无应用创建权限的自定义角色：
  1. 登录APIM管理控制台，进入「用户与角色 > 角色 > 添加角色」。
  2. 角色类型选Internal，命名比如RestrictedSubscriber。
  3. 配置权限时，只保留订阅API、查看已存在应用等必要权限，取消勾选Applications > Create Application相关权限项。
• 将目标用户添加到这个自定义角色，同时移除默认的Internal/subscriber角色（如果之前有）。用户再尝试创建应用时会直接提示无权限，不会触发任何审批流程。

2. 自定义Handler拦截应用创建请求 #

通过编写自定义的应用处理Handler，在请求到达后端前拦截并校验用户身份：

• 实现思路：
  1. 创建一个类继承AbstractApplicationHandler，重写handleApplicationCreation方法。
  2. 在方法中获取当前登录用户的用户名，和预设的限制用户列表（可从配置文件、数据库或注册表读取）比对。
  3. 如果用户在限制列表内，返回false并设置错误响应，直接阻止应用创建。
• 部署配置：
  将自定义Handler打包成jar，放到<APIM_HOME>/repository/components/dropins目录，然后在deployment.toml中添加配置启用：

  [[apim.gateway.handlers]]
  name = "CustomApplicationCreationHandler"
  class = "com.yourcompany.handlers.CustomApplicationCreationHandler"
  

3. 注册表配置用户黑名单+权限校验 #

利用WSO2注册表存储限制用户列表，配合权限扩展点实现校验：

• 操作步骤：
  1. 在APIM管理控制台的「注册表」中创建资源，比如/_system/config/apim/restricted_users，内容为需要限制的用户名（每行一个）。
  2. 编写权限校验逻辑，在应用创建前读取注册表中的用户列表，判断当前用户是否在黑名单内，若在则拒绝操作。
  3. 集成到org.wso2.carbon.apimgt.impl.handlers.ApplicationHandler的扩展点中，实现拦截。

内容的提问来源于stack exchange，提问作者Gregory