Oracle EPM中Groovy脚本如何获取用户密码实现Basic Auth

Oracle EPM出于安全设计，User对象不会暴露明文密码属性（防止密码泄露风险），所以直接通过operation.user.password获取密码的方式不可行。以下是几种安全可行的替代方案：

方案1：使用EPM凭证存储（CSF）管理认证信息 #

这是最推荐的安全方案，将外部API的Basic Auth凭证统一存储在EPM内置的凭证库中，脚本运行时直接读取配置好的凭证：

1. 先在EPM中配置凭证：

   • 登录EPM Workspace，进入Navigator > Application > Configuration > Credentials
   • 创建新凭证条目，填写外部API的用户名、密码，设置唯一的凭证别名（例如EXTERNAL_API_BASIC_AUTH）

2. Groovy脚本中读取凭证：

   // 获取凭证存储实例
   def credentialStore = com.oracle.ecs.credentialstore.CredentialStoreFactory.getCredentialStore()
   // 根据别名读取目标凭证
   def credential = credentialStore.getCredential("EXTERNAL_API_BASIC_AUTH")
   
   if (credential != null) {
       String apiUsername = credential.getUserName()
       String apiPassword = new String(credential.getPassword())
       
       // 构建Basic Auth请求头
       String authString = "${apiUsername}:${apiPassword}"
       String authEncoded = authString.bytes.encodeBase64().toString()
       String authHeader = "Basic ${authEncoded}"
       
       // 后续携带authHeader调用外部REST API即可
   } else {
       throw new Exception("未找到指定的凭证条目，请检查配置")
   }
   

方案2：通过运行时参数传递密码 #

如果需要使用当前登录用户的密码（而非预配置的API专用凭证），可以让用户在脚本执行时手动输入密码作为敏感参数：

1. 定义脚本参数：
   在Groovy脚本的参数配置中添加一个密码类型的参数（例如userPassword），设置为敏感输入（隐藏输入内容）

2. 脚本中获取参数值：

   // 获取当前登录用户名
   String loginUserName = operation.user.fullName
   // 获取用户输入的密码参数
   String loginPassword = params.userPassword
   
   if (loginPassword) {
       String authString = "${loginUserName}:${loginPassword}"
       String authEncoded = authString.bytes.encodeBase64().toString()
       String authHeader = "Basic ${authEncoded}"
       // 执行外部API调用逻辑
   } else {
       throw new Exception("请输入密码以完成认证")
   }
   

方案3：EPM会话令牌转换（限特定集成场景） #

如果外部API支持与EPM的会话集成，可以先获取当前用户的EPM REST API令牌，再尝试转换为外部API的认证凭证——这种方式需要外部API提供对应的令牌交换逻辑，通用性较低：

// 获取当前会话的EPM令牌
def epmToken = operation.session.token
// 若外部API支持，此处添加令牌转换为Basic Auth凭证的逻辑

关键注意事项 #

• 绝对禁止在脚本中硬编码密码，避免安全漏洞
• 优先选择凭证存储方案，它支持加密存储与统一管理，安全性最高
• 若使用用户输入的密码，务必将参数设置为敏感类型，防止明文泄露

内容的提问来源于stack exchange，提问作者Pankaj Patil