SAP CAP(NodeJS)无法获取用户已分配CF角色集合问题咨询

问题表现 #

基于NodeJS开发的SAP CAP项目中，已为当前用户账号分配1个自定义角色集合，但在SAP BAS环境测试时角色分配未生效，执行console.log(req.user) 输出如下，仅包含默认内置角色，无自定义角色，租户字段为空：

{
"id": "matthijs@dummy.com",
"_roles": {
    "any": 1,
    "identified-user": 1,
    "authenticated-user": 1
},
"attr": {},
"tenant": null
}

现有配置文件 #

xs-security.json #

{
"xsappname": "test-cap",
"tenant-mode": "dedicated",
"description": "Security profile of called application",
"scopes": [
    {
        "name": "uaa.user",
        "description": "UAA"
    },
    {
        "name": "$XSAPPNAME.Admin",
        "description": "Admin"
    }
],
"role-templates": [
    {
        "name": "Token_Exchange",
        "description": "UAA",
        "scope-references": [
            "uaa.user"
        ]
    },
    {
        "name": "Admin",
        "description": "Admin Role",
        "scope-references": [
            "$XSAPPNAME.Admin"
        ]
    }
],
"role-collections": [
    {
        "name": "Admin",
        "description": "Admin",
        "role-template-references": [
            "$XSAPPNAME.Admin"
        ]
    }
],
"oauth2-configuration": {
    "redirect-uris": [
        "https://*.applicationstudio.cloud.sap/**"
    ]
}}

package.json（CDS配置段） #

"cds": {
"build": {
  "target": "."
},
"requires": {
  "uaa": {
    "kind": "xsuaa"
  },
  "db": {
    "kind": "hana"
  }
},
"hana": {
  "deploy-format": "hdbtable"
}}

mta.yaml配置 #

• mta.yaml服务模块配置：
• mta.yaml XSUAA资源配置：

遗漏配置与修复步骤 #

你缺失了3项关键配置/操作，按顺序处理即可解决问题：

• 本地运行未绑定CF空间的XSUAA实例
  SAP BAS中本地启动CAP项目时，默认不会自动关联CF空间内部署的XSUAA服务，会走内置mock用户逻辑，自然读不到CF上分配的角色和租户信息。
  操作步骤：
  1. 确保你已经在对应CF空间基于xs-security.json创建了XSUAA服务实例，且已经把Admin角色集合分配给测试账号
  2. 在SAP BAS的项目终端执行 cds bind -2 <你的XSUAA实例名>，将本地运行的CAP服务绑定到该XSUAA实例
  3. 绑定完成后通过cds run启动服务，不要使用旧的无绑定启动配置
• 缺失XSUAA认证所需的依赖包
  CAP对接XSUAA需要依赖官方安全库解析JWT令牌中的角色、租户属性，未安装时无法正确生成用户上下文。
  操作步骤：在项目根目录执行 npm install @sap/xssec @sap/xsenv 安装依赖，安装完成后重启服务。
• 未显式强制本地走XSUAA认证策略
  CDS本地运行默认启用mock认证模式，即使配置了uaa也可能不会触发XSUAA校验，需要在package.json的cds配置段补充auth配置：

  "cds": {
    "requires": {
      "auth": {
        "kind": "xsuaa"
      },
      "uaa": {
        "kind": "xsuaa"
      }
    }
  }
  

修复完成后重新调用接口打印req.user，即可在_roles中看到自定义的Admin角色，tenant字段也会返回正确的租户ID。

内容的提问来源于stack exchange，提问作者Matthijs Mennens