Adobe Experience Manager（AEM）中的服务用户 service-users-in-aem

概述 overview

过去，在 AEM 中获取管理会话或资源解析器的主要方式，是使用 Sling 提供的 SlingRepository.loginAdministrative() 和 ResourceResolverFactory.getAdministrativeResourceResolver() 方法。

然而，这两种方法并未围绕最小权限原则进行设计。它使开发人员很容易在早期忽略为内容规划合理的结构及相应的访问控制级别（Access Control Level，简称“ACL”），从而埋下安全隐患。一旦此类服务存在漏洞，往往会导致权限被提升至 admin 用户，即使代码本身并不需要以管理员权限运行也是如此。

如何逐步淘汰管理员会话 how-to-phase-out-admin-sessions

优先级 0：该功能是否活跃/必要/已废弃？ priority-is-the-feature-active-needed-derelict

在某些情况下，管理员会话并未实际使用，或功能已被完全禁用。如果您的实施属于此类情况，请彻底移除该功能，或以 NOP 代码将其置空。

优先级 1：使用请求会话 priority-use-the-request-session

尽可能重构功能，使传入的、已完成身份验证的请求会话能够用于读取或写入内容。若暂无法做到，通常可按下述后续优先级中的措施逐步达成。

优先级 2：重构内容 priority-restructure-content

许多问题可通过重构内容结构加以解决。进行重构时，请牢记以下简单准则：

此外，请确保您开发的任何新功能都遵循以下原则：

严格的访问控制 strict-access-control

无论您是在重构内容时应用访问控制，还是为新服务用户应用访问控制，都必须尽可能应用最严格的访问控制级别（简称“ACL”）。充分利用所有可用的访问控制功能：

服务用户与映射 service-users-and-mappings

如果以上方法不可行，Sling 7 提供了服务用户映射服务，它允许您配置从捆绑包到用户的映射，并提供两个对应的 API 方法：

这些方法会返回仅具有已配置用户的权限的会话/资源解析器。这些方法的特点如下：

其他建议 other-recommendations

用服务用户替换管理会话 replacing-the-admin-session-with-a-service-user

服务用户是一种 JCR 用户，它没有设置密码，并且仅具备执行特定任务所需的最小权限。由于未设置密码，因此无法直接使用服务用户进行登录。

弃用管理会话的一种方式是将其替换为服务用户会话。如有需要，也可以替换为多个子服务用户。

要将管理会话替换为服务用户，应执行以下步骤：

创建服务用户 creating-a-new-service-user

在确认 AEM 服务用户列表中没有适用用户，且对应的 RTC 问题已获批准后，将新用户添加到默认内容中。

推荐的方法是通过 https://<server>:<port>/crx/explorer/index.jsp 的存储库资源管理器创建服务用户

目标是获取一个有效的 jcr:uuid 属性，这是通过安装内容包创建用户时的必填项。

您可以通过以下方式创建服务用户：

在将相应的 .content.xml 添加到捆绑包的内容中时，请确保已设置 rep:authorizableId，并且主类型为 rep:SystemUser。它应该如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<jcr:root xmlns:jcr="https://www.jcp.org/jcr/1.0" xmlns:rep="internal"
    jcr:primaryType="rep:SystemUser"
    jcr:uuid="4917dd68-a0c1-3021-b5b7-435d0044b0dd"
    rep:principalName="authentication-service"
    rep:authorizableId="authentication-service"/>

在 ServiceUserMapper 配置中添加配置修订 adding-a-configuration-amendment-to-the-serviceusermapper-configuration

要将您的服务映射到相应的系统用户，需要为 ServiceUserMapper 服务创建一个工厂配置。为保持模块化，可以通过 Sling 修改机制提供此类配置。推荐的方式是结合 Sling 初始内容加载，将此配置随捆绑包一起安装：

处理服务中的共享会话 dealing-with-shared-sessions-in-services

loginAdministrative() 调用通常与共享会话一起出现。这些会话会在服务激活时获取，并且仅在服务停止后才会注销。尽管这种做法很常见，但它会导致两个问题：

针对安全风险，最明显的方法是将 loginAdministrative() 调用替换为 loginService()，并指定一个具有受限权限的用户。但需要注意，这种替换对潜在的性能下降没有帮助。为缓解性能问题，可以将所需信息封装在一个与会话无关的对象中。然后在需要时按需创建（或销毁）会话。

推荐的方法是重构服务的 API，使调用者能够自行控制会话的创建与销毁。

JSP 中的管理会话 administrative-sessions-in-jsps

JSP 无法使用 loginService()，因为没有关联的服务。然而，在 JSP 中使用管理会话通常意味着违反了 MVC 模式。

这可以通过以下两种方式修复：

其中，方法一是首选方案。

处理事件、复制预处理器和作业 processing-events-replication-preprocessors-and-jobs

在处理事件、作业，有时是工作流时，触发事件的相应会话可能丢失。因此，事件处理程序和作业处理器通常会使用管理会话来完成工作。为解决这一问题，有几种可能的方法，这些方法各有优劣：

第三种方法是推荐的处理方式。

工作流流程 workflow-processes

在工作流流程实施中，触发工作流的对应用户会话可能会丢失。因此，工作流流程通常会使用管理会话来执行任务。

为解决这些问题，推荐使用在处理事件、复制预处理器和作业中提到的相同方法。

Sling POST 处理器与已删除的页面 sling-post-processors-and-deleted-pages

在 Sling POST 处理器的实施中，会使用一些管理会话。通常，管理会话用于访问正在处理的 POST 中等待删除的节点。因此，这些节点无法再通过请求会话获取。访问等待删除的节点可能会泄露原本不应被访问的元数据。