WSO2 Identity Server 5.9.0 如何配置单个服务提供商仅使用指定用户存储认证

原有XACML策略属于授权阶段校验逻辑，执行时机晚于用户认证搜索流程：WSO2 IS会先按用户存储优先级遍历搜索用户名，匹配到用户后完成认证，再执行XACML权限校验，因此会出现高优先级非授权用户存储的同名用户被拦截后，无法继续搜索低优先级授权用户存储的问题。

以下是可行的实现方案：

方案1：直接配置SP关联指定用户存储（最推荐） #

该方案为WSO2 IS原生支持功能，配置后目标SP认证时只会从指定用户存储搜索用户，完全规避遍历问题：

• 登录WSO2 IS管理控制台，进入Service Providers列表，找到目标SP点击Edit
• 展开Local & Outbound Authentication Configuration配置项
• 找到User store domains选择区域，勾选需要关联的唯一用户存储域名，保存配置即可

方案2：使用自适应认证脚本实现灵活控制 #

如果需要更复杂的筛选逻辑（比如多用户存储动态分配、结合其他属性判断），可以通过自适应认证实现：

• 在目标SP的Local & Outbound Authentication Configuration页，勾选Enable Adaptive Authentication
• 在脚本编辑区域添加如下逻辑，指定仅从目标用户存储搜索用户：

function onInitialRequest(context) {
    // 替换USER-STORE-NAME为实际允许的用户存储名称
    context.request.userStoreDomain = "USER-STORE-NAME";
    executeStep(1);
}

方案3：适配原有XACML方案 #

如果必须保留XACML策略实现，可配合以下修改解决同名用户问题：

• 要求用户登录时输入带用户存储前缀的用户名，格式为USER-STORE-NAME/用户名，系统会直接定向到指定用户存储搜索，不会遍历其他存储
• 或调整用户存储优先级，将允许该SP访问的用户存储排序到最顶部，确保同名用户优先从授权存储匹配

内容的提问来源于stack exchange，提问作者Aprendiendo Siempre