IBM IIB/ACE 如何在Java计算节点等节点中访问安全身份或Vault详情

不管是通过mqsisetdbparms还是mqsivault存入服务器加密存储区的用户名、密码，无法直接通过消息树、环境变量拿到解密后的明文值，必须通过IIB/ACE提供的专用安全API完成读取，具体实现方式按节点类型区分如下：

Java计算节点的读取方案 #

• 直接调用节点运行环境内置的com.ibm.broker.security.SecurityUtils类提供的静态方法，无需额外引入第三方依赖，该类已经默认加载到计算节点的运行类路径中。
• 匹配mqsisetdbparms存储凭证的读取逻辑：调用时传入当前应用所在的执行组名称、mqsisetdbparms命令定义的资源标识、凭证ID，即可返回明文凭证对。示例代码如下：

  // 从SecurityUtils获取凭证，参数依次为：执行组名、资源标识、凭证ID
  String[] basicAuthCred = SecurityUtils.getBasicAuthCredentials(
      getFlowContext().getExecutionGroupName(),
      "myRestEndpoint",
      "basicAuthUser"
  );
  // 返回数组固定结构：下标0为存储的用户名，下标1为存储的明文密码
  String restUsername = basicAuthCred[0];
  String restPassword = basicAuthCred[1];
  

• 匹配mqsivault独立存储自定义凭证的读取逻辑：调用SecurityUtils提供的getVaultCredentials对应重载方法，传入存储时定义的凭证键值，返回的凭证对结构和上述方法完全一致。
• 拿到解密后的用户名、密码后，直接按照HTTP Basic认证的规则拼接请求头，注入到HttpURLConnection对象的请求头字段中，即可完成REST接口的认证调用。

注意：上述SecurityUtils类仅在IIB节点运行时的JVM上下文内可用，脱离IIB运行环境的普通Java程序无法加载、调用该类方法。

ESQL节点的读取方案 #

• ESQL语言本身没有提供直接解密读取服务器加密存储凭证的内置语法，可通过两种方式完成凭证获取：
  1. 桥接调用Java静态方法实现：按照上述Java节点的凭证读取逻辑编写独立的静态工具类，将工具类打包部署到IIB类路径后，在ESQL节点中通过CALL语句调用工具类的静态方法，将返回的用户名、密码存入ESQL局部变量即可使用。
  2. 复用内置节点的自动凭证读取能力：如果不需要完全自定义HttpURLConnection的连接逻辑，直接使用IIB内置的HTTP请求节点时，只需在节点的安全身份配置项中填写和mqsisetdbparms定义一致的资源标识、凭证ID，节点运行时会自动解密读取对应凭证完成HTTP认证，无需手动编写解密逻辑。

内容的提问来源于stack exchange，提问作者Hari