WSO2 Identity Server 5.7.0升级至5.11.0相关问题与报错排查

1. 能否直接跨版本升级 #

WSO2 Identity Server不支持跨多个主版本直接升级，无法从5.7.0直接升级到5.11.0，必须按以下顺序逐版本迁移：
5.7.0 → 5.8.0 → 5.9.0 → 5.10.0 → 5.11.0
每升级到一个中间版本，都必须执行对应版本的迁移脚本和迁移客户端，完成当前版本的适配后才能进行下一个版本的升级。

2. Postgres数据库迁移准备阶段配置调整参考 #

• 提前全量备份5.7.0环境的所有数据库数据、旧版本配置文件、自定义扩展组件（如自定义认证器、用户存储适配器）、密钥库/信任库、用户存储数据。
• 逐版本执行对应Postgres数据库的升级DDL脚本，每升级一个版本先执行对应数据库脚本，再启动服务跑迁移客户端。
• 5.9.0及之后版本改用deployment.toml作为统一配置文件，升级时需要将旧版本.xml格式的配置项正确映射到toml配置结构中，尤其要注意用户存储、数据源、权限、密钥相关的配置映射。
• 迁移前关闭所有自定义的扩展组件、定时任务，避免迁移过程中写入脏数据。

3. 是否需要新建独立数据库 #

建议新建独立数据库用于5.11.0版本，尤其是测试迁移阶段，避免操作失误损坏原有生产库数据。正式迁移时可二选一：

• 原地升级：在原有数据库上逐版本执行升级脚本，风险较高，仅建议在备份完整的前提下使用。
• 新库迁移：新建空白库，将旧库数据导入后执行迁移脚本，你配置中的source（原库）和target（新库）数据源就属于这种模式，安全性更高，出问题可随时回滚到原有环境。

错误原因及配置遗漏说明 #

你遇到的PermissionUpdater空指针错误，核心原因是跨版本升级导致权限表结构不兼容，权限元数据缺失，触发缓存加载异常。除此之外你的配置还有以下遗漏/错误：

1. 配置转义错误：user_store下的user_name_search_filter、group_name_search_filter存在双重转义问题，\u0026amp;实际应为&，修正后为：

user_name_search_filter="(&(objectClass=person)(uid=?))"
group_name_search_filter="(&(objectClass=groupOfNames)(cn=?))"

转义错误会导致LDAP查询失败，进而导致权限加载失败触发空指针。
2. 默认数据源指向错误：你配置的carbon_db、identity_db、shared_db三个核心默认数据源目前指向旧库wso2，但你同时配置了source和target自定义迁移数据源，迁移阶段需要将三个核心数据源指向target对应的新库wso2_new，否则服务启动会读取旧库不兼容的结构数据。
3. 缺失迁移模式配置：deployment.toml中没有开启迁移模式，需要添加以下配置：

[migration]
enable = true
migrate_tenant = true

同时需要在migration-config.yaml中正确填写迁移的源版本和目标版本，否则迁移客户端不会执行对应的迁移逻辑。
4. 超级管理员配置不合理：create_admin_account设为false的前提是新库中已经存在对应超级管理员账号，迁移阶段建议先将该参数设为true，待完整迁移完成后再调整为false，避免权限初始化失败。 #

内容的提问来源于stack exchange，提问作者Manoj Singh