使用Liberty JAAS CustomLoginModule时遇401未授权且无法获取UserRegistry

我之前在做Liberty自定义JAAS登录模块的时候也碰到过类似的问题——认证过了但授权卡壳，查日志也是getUserRegistry()空指针，不过看你的日志BasicRegistry确实已经正常加载了，给你几个实际可行的解决思路：

1. 绕过JAASServiceImpl，用OSGi服务查找获取UserRegistry #

你遇到的空指针大概率是因为LoginModule初始化阶段，JAASServiceImpl的内部引用还没就绪。可以直接通过OSGi的ServiceTracker查找UserRegistry服务，绕过这个问题，代码示例如下：

import com.ibm.ws.security.registry.UserRegistry;
import org.osgi.framework.BundleContext;
import org.osgi.framework.FrameworkUtil;
import org.osgi.util.tracker.ServiceTracker;
import javax.security.auth.login.LoginException;

public class CustomLoginModule implements LoginModule {
    // 其他LoginModule方法实现...

    private UserRegistry getValidUserRegistry() throws LoginException {
        try {
            BundleContext bundleContext = FrameworkUtil.getBundle(CustomLoginModule.class).getBundleContext();
            ServiceTracker<UserRegistry, UserRegistry> tracker = new ServiceTracker<>(bundleContext, UserRegistry.class, null);
            tracker.open();
            UserRegistry userRegistry = tracker.getService();
            tracker.close();
            
            if (userRegistry == null) {
                throw new LoginException("无法获取UserRegistry服务实例");
            }
            return userRegistry;
        } catch (Exception e) {
            throw new LoginException("获取UserRegistry失败: " + e.getMessage());
        }
    }
}

注意要在LoginModule所在的bundle的MANIFEST.MF中添加依赖包：Import-Package: org.osgi.framework, org.osgi.util.tracker。

2. 直接注入权限Principal，绕开UserRegistry依赖 #

既然你的认证已经通过，其实可以不用依赖UserRegistry做授权，直接在commit()方法里往Subject中添加用户角色对应的Principal，Liberty的授权机制可以直接识别这些Principal，示例代码：

import javax.security.auth.Subject;
import javax.security.auth.login.LoginException;
import javax.security.auth.spi.LoginModule;
import java.security.Principal;
import java.util.Map;

public class CustomLoginModule implements LoginModule {
    private Subject subject;
    // 其他变量定义...

    @Override
    public void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {
        this.subject = subject;
        // 其他初始化逻辑...
    }

    @Override
    public boolean commit() throws LoginException {
        // 假设已验证用户Fred属于ADMIN组
        // 添加用户身份Principal
        subject.getPrincipals().add(new Principal() {
            @Override
            public String getName() {
                return "Fred";
            }
        });
        // 添加角色/组Principal
        subject.getPrincipals().add(new Principal() {
            @Override
            public String getName() {
                return "ADMIN";
            }
        });
        return true;
    }

    // 实现abort、logout等其他LoginModule方法...
}

这种方式更直接，不需要依赖UserRegistry的状态，尤其适合自定义认证与权限逻辑绑定的场景。

3. 检查server.xml配置的一致性 #

从你的日志看，BasicRegistry的realm是zosConnect，请确保你的JAAS登录条目配置里指定了相同的realm，否则可能导致无法关联到正确的UserRegistry：

<jaasLoginEntry id="customLoginRealm" realm="zosConnect">
    <loginModule className="com.yourpackage.CustomLoginModule" controlFlag="REQUIRED"/>
</jaasLoginEntry>

同时，确保你的应用或服务（比如zosConnect）配置中引用了这个JAAS登录条目，例如添加jaasLoginEntryRef="customLoginRealm"。

内容的提问来源于stack exchange，提问作者Claire