HBase 2.1.7客户端读请求用户名截断写请求正常问题咨询

1. 核心原因：Hadoop UGI用户名解析规则+读写路径用户获取逻辑不一致 #

Hadoop的UserGroupInformation（UGI）组件默认会把用户名中@字符后面的内容识别为Kerberos领域（Realm），调用getShortUserName()方法时会自动截断返回@前面的部分，而HBase 2.1.7版本的读写请求路径获取用户名的逻辑存在差异：

• 写请求（Put）：构造RPC请求时直接调用UGI的getUserName()方法，返回完整的原始用户名LTzm@yA$U，因此权限校验正常
• 读请求（Get）：权限校验环节调用的是UGI的getShortUserName()方法，返回截断后的短名LTzm，因此出现权限不足报错

2. 代码存在的笔误问题 #

你给出的连接创建代码中存在低级错误：定义了存储用户名的变量user = "LTzm@yA$U"，但实际设置系统属性时传的是未定义的token变量，如果这不是你贴代码时的笔误，会直接导致用户名设置不生效。

方案1：改用UGI模拟用户执行所有操作（最稳妥） #

不要通过HADOOP_USER_NAME系统属性设置用户，直接构造指定用户并通过doAs方法执行所有HBase读写操作，保证读写路径使用的用户名完全一致，示例逻辑如下：

// 构造完整用户名的用户对象
User hbaseUser = User.createRemoteUser("LTzm@yA$U");

// 读操作放在doAs中执行
protected Result read(String tableName, String rowKey) throws IOException, InterruptedException {
    return hbaseUser.doAs((PrivilegedExceptionAction<Result>) () -> {
        Get get = new Get(Bytes.toBytes(rowKey));
        get.addFamily(COLUMN_FAMILY_BYTES);
        try (Table hTable = getHbaseTable(tableName)) {
            return hTable.get(get);
        }
    });
}

// 写操作同样放在doAs中执行即可

方案2：修改UGI用户名解析规则 #

如果要保留系统属性设置的方式，可以在HBase配置中添加如下配置，关闭默认的@截断逻辑：

configMap.put("hadoop.security.auth_to_local", "RULE:[1:$0] RULE:[2:$0] DEFAULT");

该规则会让UGI直接返回完整的原始用户名，不会截断@后面的内容。

方案3：版本升级 #

该读写路径用户名获取逻辑不一致的问题属于HBase 2.1.x版本的已知缺陷，升级到HBase 2.2.0及以上版本即可直接修复。

HBase本身完全支持用户名中包含@、$等特殊字符，只是默认的Kerberos适配逻辑会对@开头的领域后缀做截断处理，并不是不支持特殊字符。

内容的提问来源于stack exchange，提问作者amanshri93