更新WSO2 IS后出现间歇性认证失败，如何解决？

更新WSO2 Identity Server（IS）到U2版本后，尝试登录服务提供商（SP）时出现间歇性失败，浏览器无法跳转至SP，对应的调试日志如下：

TID: [-1234] [] [2022-12-05 22:13:30,322] [bcc826e3-5dcf-4a14-8048-6fd6b59d4599] DEBUG {org.wso2.carbon.identity.application.authentication.framework.AbstractApplicationAuthenticator} - Error occurred during the authentication process, hence retrying. org.wso2.carbon.identity.application.authentication.framework.exception.InvalidCredentialsException: User authentication failed due to invalid credentials
...
    at org.wso2.carbon.identity.application.authenticator.basicauth.BasicAuthenticator.processAuthenticationResponse(BasicAuthenticator.java:699)
    at org.wso2.carbon.identity.application.authentication.framework.AbstractApplicationAuthenticator.process(AbstractApplicationAuthenticator.java:89)
    at org.wso2.carbon.identity.application.authenticator.basicauth.BasicAuthenticator.process(BasicAuthenticator.java:141)
    at org.wso2.carbon.identity.application.authentication.framework.handler.step.impl.DefaultStepHandler.doAuthentication(DefaultStepHandler.java:512)
    at org.wso2.carbon.identity.application.authentication.framework.handler.step.impl.DefaultStepHandler.handleResponse(DefaultStepHandler.java:486)
    at org.wso2.carbon.identity.application.authentication.framework.handler.step.impl.DefaultStepHandler.handle(DefaultStepHandler.java:180)
    at org.wso2.carbon.identity.application.authentication.framework.handler.sequence.impl.DefaultStepBasedSequenceHandler.handle(DefaultStepBasedSequenceHandler.java:186)
    at org.wso2.carbon.identity.application.authentication.framework.handler.sequence.impl.GraphBasedSequenceHandler.handle(GraphBasedSequenceHandler.java:113)
    at org.wso2.carbon.identity.application.authentication.framework.handler.request.impl.DefaultAuthenticationRequestHandler.handle(DefaultAuthenticationRequestHandler.java:159)
    at org.wso2.carbon.identity.application.authentication.framework.handler.request.impl.DefaultRequestCoordinator.handle(DefaultRequestCoordinator.java:249)
    at org.wso2.carbon.identity.application.authentication.framework.servlet.CommonAuthenticationServlet.doPost(CommonAuthenticationServlet.java:53)
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:681)
    at javax.servlet.http.HttpServlet.service(HttpServlet.java:764)
...

解决方法 #

1. 检查U2版本的认证配置变更 #

• 验证Identity.xml中Basic Authenticator的相关配置，确认更新后AllowRetries等参数是否被不合理覆盖，调整重试逻辑的触发条件。
• 检查用户存储（如LDAP/AD）的连接配置，确认连接池、超时参数适配U2版本的变更，避免因用户存储连接不稳定导致的间歇性凭证验证失败。

2. 排查凭证传递与会话问题 #

• 清除浏览器缓存和Cookie后重试，排除因缓存策略变化导致的凭证丢失问题。
• 检查WSO2 IS的会话配置，确认SessionTimeout、IdleSessionTimeout参数设置合理，避免会话过早失效引发认证异常。

3. 修复BasicAuthenticator的重试逻辑 #

U2版本的BasicAuthenticator在处理无效凭证时的重试逻辑存在异常，可通过以下方式修复：

• 修改BasicAuthenticator.java的processAuthenticationResponse方法，调整重试判断逻辑，避免无效凭证错误被重复触发重试。
• 将编译后的修改版JAR包替换到<IS_HOME>/repository/components/plugins目录，重启IS服务。

4. 开启详细日志定位根因 #

• 开启org.wso2.carbon.identity.application.authenticator.basicauth和org.wso2.carbon.identity.application.authentication.framework包的DEBUG级日志，获取每次失败时的完整请求上下文（包括用户凭证、会话ID等），精准定位间歇性问题的触发条件。

内容的提问来源于stack exchange，提问作者Nipuna Upeksha