AEM 6.3中使用TokenUtil创建凭证：Service User替代loginAdministrative求助

我之前在几个AEM 6.3迁移项目里碰到过类似的Service User替代管理员登录的场景，结合你的跨实例认证需求，给你梳理几个关键排查点和解决方案：

1. 先确认Service User的核心配置是否到位 #

AEM 6.3对Service User的权限管控比旧版本严格很多，这是最容易踩坑的环节：

• 服务用户创建与权限分配：确保myAuthenticatorService这个服务用户已经在AEM的用户管理控制台（/useradmin）里创建，并且给它分配足够的权限——特别是TokenUtil创建令牌时会操作的节点（比如/etc/tokens、/home/users），至少需要jcr:read、jcr:write权限，部分场景可能需要rep:write权限。
• Service User Mapper配置：必须在OSGi控制台的Apache Sling Service User Mapper Service里，把你的项目Bundle的符号名和服务用户做映射。比如添加配置项：com.yourcompany.your-project-bundle:myAuthenticatorService=myAuthenticatorService，没有这个映射，loginService会直接抛出登录异常。

2. 适配TokenUtil.createCredentials的权限上下文 #

原来用loginAdministrative拿到的是管理员权限的Session，现在换成Service User的Session后，权限范围缩小了，需要针对性调整：

• 查看TokenUtil的实现逻辑（或AEM官方API文档），确认它创建凭证时需要操作哪些节点/属性，给myAuthenticatorService补上对应权限。比如如果需要生成令牌的签名，可能需要访问特定的系统配置节点。
• 你调用loginService时第二个参数传了空字符串，默认使用default工作空间，这没问题，但如果你的跨实例令牌存储在其他工作空间，需要修改这个参数为对应工作空间名。

3. 跨实例Cookie共享的安全适配 #

AEM 6.3强化了Cookie的安全规则，原来的共享Cookie配置可能需要调整：

• 检查Apache Sling Authentication Service的OSGi配置，确保cookie.domain设置成跨实例共享的域名（比如.yourcompany.com），cookie.secure、cookie.httpOnly等属性也要和你的部署环境匹配（比如HTTPS环境下要开启cookie.secure）。
• 确保Service User生成的令牌对应的Cookie符合这些安全配置，否则跨实例时Cookie无法被正确识别。

4. 代码层面的Session管理优化 #

Service User的Session需要更严谨的生命周期管理，避免资源泄漏或权限冲突：

• 一定要在finally块里关闭Session，比如：

try {
    this.repositorySession = this.repository.loginService("myAuthenticatorService", "");
    // 调用TokenUtil.createCredentials及后续逻辑
    Credentials credentials = TokenUtil.createCredentials(repositorySession, targetUserId, authDomain);
} catch (Exception e) {
    // 异常处理
    log.error("Failed to create cross-instance credentials", e);
} finally {
    if (repositorySession != null && repositorySession.isLive()) {
        repositorySession.logout();
    }
}

• 如果是在OSGi服务中使用，建议通过@Reference注入SlingRepository，而不是手动管理Repository实例，这样能更好地适配AEM的生命周期。

快速排查技巧 #

如果还是有问题，直接看AEM的error.log和audit.log：

• 若看到javax.jcr.AccessDeniedException，就是权限不足，去/useradmin补权限；
• 若看到org.apache.sling.api.resource.LoginException: Service user myAuthenticatorService not mapped to bundle，就是Service User Mapper没配置；
• 若Cookie相关的异常，去检查认证服务的Cookie配置。

内容的提问来源于stack exchange，提问作者Bagus Tesa