eXist-db中安全替代system:as-user()访问账户元数据的方案问询

我在eXist环境里处理过类似的权限问题，针对你不想硬编码管理员密码但又要访问用户元数据的需求，这里有几个更安全的解决方案，比你当前的system:as-user方案更稳妥：

方案1：用存储过程（Stored Procedures）实现权限提升 #

eXist支持将特定函数标记为存储过程，这类函数可以以指定的高权限（比如DBA）执行，调用者不需要拥有对应权限，也不用暴露密码。具体步骤如下：

1. 改造你的user.xql模块，给user:user-info添加存储过程和权限声明：

module namespace user="/db/apps/foo/modules/user";

// 标记函数以DBA权限执行，且为存储过程
declare option exist:security "admin";
declare option exist:procedure "true";

declare function user:user-info($userid as xs:string) as node()? {
    // 保留你原本获取用户元数据的逻辑，比如用xmldb:get-user
    let $user-record := xmldb:get-user($userid)
    return if ($user-record) then
        <user>
            <firstname>{$user-record//firstname/text()}</firstname>
            <lastname>{$user-record//lastname/text()}</lastname>
        </user>
    else ()
};

2. 简化collections:content函数，直接调用user:user-info即可，不用再嵌套system:as-user：

module namespace collections="/db/apps/foo/modules/collections";
declare namespace tei="http://www.tei-c.org/ns/1.0";
import module namespace user="/db/apps/foo/modules/user" at "/db/apps/foo/modules/user.xql";

declare function collections:content($node as node(), $model as map(*), $ref as xs:string?) {
    let $doc := doc(concat("$mycollection", $ref))
    for $editor in $doc//tei:editor/data(@nymRef)
    let $ed := user:user-info($editor)
    return if ($ed) then
        concat($ed//firstname/text(), " ", $ed//lastname/text())
    else "Unknown User"
};

3. 最后给user.xql模块设置正确权限：确保模块所有者是DBA用户，给普通用户（包括访客）只开放执行权限，不用给读权限——这样他们看不到函数内部实现，安全性更高。

这个方案的核心是利用eXist的存储过程特性，让函数以DBA身份运行，但调用者完全不需要DBA权限，也不用管密码的事。

方案2：创建专用低权限服务账户 #

如果不想用存储过程，你可以创建一个仅拥有读取用户元数据权限的专用服务账户，最小化权限风险：

1. 在eXist安全管理器中新建一个用户，比如user-metadata-reader。
2. 只给这个账户赋予xmldb:read权限到/db/system/users集合（用户元数据的存储位置），不要给其他多余权限（比如修改用户、访问应用数据等）。
3. 把这个账户的密码存在eXist的加密属性库里，而不是硬编码在代码中：
   • 进入eXist管理界面的Configuration -> Encrypted Properties，添加一个属性（比如user-reader-pw），值为服务账户的密码。
   • 在代码中用util:get-encrypted-property("user-reader-pw")获取密码，替代原来的全局明文变量。
4. 修改collections:content里的调用，用这个服务账户代替admin：

let $ed := system:as-user("user-metadata-reader", util:get-encrypted-property("user-reader-pw"), user:user-info($editor))

这个方案的优势是权限最小化：即使密码泄露，攻击者也只能读取用户元数据，不会影响整个系统，而且密码是加密存储的，不会明文出现在文件里。

方案3：预缓存用户元数据（适合用户信息不频繁变更的场景） #

如果你的用户信息不会经常更新，可以考虑预缓存用户ID和全名的映射，彻底绕开权限问题：

1. 用eXist的调度器创建定时任务，定期以DBA身份运行，把所有用户的ID和全名导出到一个缓存文件，比如/db/apps/foo/data/user-mappings.xml。
2. 给这个缓存文件设置普通用户可读取的权限。
3. 修改user:user-info函数，直接从缓存文件查询全名，不用访问系统用户元数据：

declare function user:user-info($userid as xs:string) as xs:string? {
    let $mappings := doc("/db/apps/foo/data/user-mappings.xml")
    return $mappings//user[@id = $userid]/fullname/text()
};

这个方案性能更好，也完全避免了权限问题，但缺点是用户信息更新后会有延迟，直到定时任务刷新缓存。

为什么之前的setuid/setgid设置没用？ #

eXist的setuid/setgid权限是作用于集合的，主要影响对集合内容的访问权限。而xmldb:get-user这类系统函数的权限检查是基于当前执行上下文的用户身份，setuid无法绕过这个检查——只有存储过程或者system:as-user才能切换执行上下文的身份，所以你之前的尝试没生效。

内容的提问来源于stack exchange，提问作者jbrehr