OpenAM 13.0.0重置密码邮件发送至旧邮箱问题咨询

OpenAM 13.0.0版本身份仓储（IdRepo）缓存模块存在已知缺陷：通过REST API修改用户mail属性时，不会自动失效该用户对应的旧身份缓存条目。密码重置服务读取用户邮箱时会优先命中缓存中的旧值，不会主动拉取OpenDJ底层存储的最新数据。该版本默认的缓存TTL失效逻辑未覆盖REST属性更新场景，因此等待缓存自然过期也无法解决问题，只有重启服务清空整个JVM内存缓存时，旧邮箱缓存才会被清除。

• 单用户即时修复：使用OpenAM自带的ssoadm命令行工具手动清除指定用户的身份缓存，执行后10秒内生效，无需重启服务。操作命令如下：

./ssoadm erase-identities -e <对应realm名称> -t User -u amadmin -f <amadmin密码文件本地路径> -i "uid=<目标用户uid>"

• 长期配置修复：通过ssoadm开启属性写入自动触发缓存失效的隐藏开关，配置实时生效，后续所有用户属性更新都不会再出现缓存残留问题。操作命令如下：

./ssoadm update-server-cfg -s <OpenAM实例ID> -u amadmin -f <amadmin密码文件本地路径> -a com.sun.identity.idm.cache.entry.expire.on.write=true

如果可以接受短时间缓存不一致窗口，也可以进入OpenAM管理控制台，将全局IdRepo缓存的TTL值调整为300秒（5分钟），进一步降低缓存残留的影响范围。

如果不想调整OpenAM全局缓存配置，可以改造密码重置流程：触发重置邮件发送前，直接通过LDAP协议连接OpenDJ读取目标用户的最新mail属性值，用读取到的新邮箱覆盖OpenAM上下文传入的邮箱参数后再调用邮件发送接口，完全绕开OpenAM身份缓存层，可保证邮件100%发送到用户最新设置的邮箱地址。

内容的提问来源于stack exchange，提问作者Abdul