Adobe Experience Manager (AEM)中的服務使用者 service-users-in-aem

概觀 overview

在AEM中取得管理工作階段或資源解析程式的主要方式是使用Sling提供的SlingRepository.loginAdministrative()和ResourceResolverFactory.getAdministrativeResourceResolver()方法。

但是，這兩種方法都不是依照最低許可權的原則設計的。 如此一來，開發人員就很容易無法及早針對內容規劃適當的結構和對應的存取控制層級(ACL)。 如果此類服務中存在漏洞，即使程式碼本身不需要系統管理許可權即可運作，也經常會導致許可權升級至admin使用者。

如何逐步淘汰管理員工作階段 how-to-phase-out-admin-sessions

優先順序0：功能是否啟用/需要/已棄用？ priority-is-the-feature-active-needed-derelict

某些情況下可能未使用管理員工作階段，或功能完全停用。 若您的實作是如此，請確定您完全移除該功能，或使用NOP程式碼來配合。

優先順序1：使用請求工作階段 priority-use-the-request-session

只要可能就會重構您的功能，以便使用已驗證的指定請求工作階段來讀取或寫入內容。 如果無法這麼做，通常可依照下列優先順序套用優先順序來達成。

優先順序2：重新建構內容 priority-restructure-content

許多問題都可透過重新建構內容來解決。 進行重新建構時，請謹記下列簡單規則：

此外，請確定您開發的任何新功能都遵守以下原則：

嚴格存取控制 strict-access-control

無論您在重新建構內容時套用存取控制，還是為新的服務使用者執行此動作時，都必須儘可能套用最嚴格的ACL。 使用所有可能的存取控制工具：

服務使用者與對應 service-users-and-mappings

如果上述操作失敗，Sling 7提供服務使用者對應服務，可讓您設定套件組合對使用者對應和兩個對應的API方法：

這些方法會傳回僅具有已設定使用者之許可權的工作階段/資源解析程式。 這些方法具有下列特性：

其他建議 other-recommendations

將管理員工作階段取代為服務使用者 replacing-the-admin-session-with-a-service-user

服務使用者是不設定密碼的JCR使用者，以及執行特定工作所需的最低許可權集。 未設定密碼表示無法以服務使用者登入。

取代管理工作階段的方法是使用服務使用者工作階段來取代它。 如有需要，也可由多位子服務使用者取代。

若要以服務使用者取代管理工作階段，您應該執行下列步驟：

建立服務使用者 creating-a-new-service-user

在您確認AEM服務使用者清單中的任何使用者都不適用於您的使用案例，且對應的RTC問題已核准後，請將新使用者新增至預設內容。

使用Sling存放庫初始化(RepoInit) creating-service-user-repoinit

建議的方法是使用Sling存放庫初始化(RepoInit)來建立服務使用者。 RepoInit可讓您使用簡單的指令碼語言，以宣告方式定義服務使用者及其ACL。

若要使用RepoInit建立服務使用者，請將scripts屬性新增到org.apache.sling.jcr.repoinit.RepositoryInitializer的OSGi設定：

create service user my-service-user with path system/cq

set ACL for my-service-user
    allow jcr:read on /content
end

with path system/cq指示詞將服務使用者放在存放庫的/home/users/system/cq之下。 您可以選擇符合專案組織結構的路徑（例如，system/myproject）。 如果中間路徑節點不存在，請使用with forced path自動建立它們。

建議使用此方法，因為它：

使用內容封裝 creating-service-user-content-package

您也可以在內容封裝中加入.content.xml，以建立服務使用者。 確定您已設定rep:authorizableId，且主要型別為rep:SystemUser。 內容套件安裝期間，使用者必須正確建立有效的jcr:uuid屬性。 您可以使用標準UUID v4產生器來產生UUID （例如uuidgen命令列工具或任何線上UUID產生器）。 .content.xml應如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<jcr:root xmlns:jcr="https://www.jcp.org/jcr/1.0" xmlns:rep="internal"
    jcr:primaryType="rep:SystemUser"
    jcr:uuid="4917dd68-a0c1-3021-b5b7-435d0044b0dd"
    rep:principalName="authentication-service"
    rep:authorizableId="authentication-service"/>

正在新增組態修正至ServiceUserMapper組態 adding-a-configuration-amendment-to-the-serviceusermapper-configuration

若要將對應從您的服務新增至對應的系統使用者，請建立ServiceUserMapper服務的工廠組態。 若要保持此模組化，可以使用Sling修正機制提供此組態。 建議您使用Sling初始內容載入，將此組態與您的套件一起安裝：

在服務中處理共用工作階段 dealing-with-shared-sessions-in-services

對loginAdministrative()的呼叫通常與共用工作階段一起出現。 這些工作階段會在服務啟動時取得，並只會在服務停止後登出。 雖然這是常見做法，但會導致兩個問題：

針對安全性風險，最顯而易見的解決方案是將loginAdministrative()呼叫取代為loginService()呼叫，以提供給具有受限制許可權的使用者。 但是，這不會對任何潛在的效能降級造成任何影響。 降低這種問題的可能方式是，將所有要求的資訊包裝在與工作階段無關聯的物件中。 然後，隨選建立（或銷毀）工作階段。

建議的方法是重構服務的API，讓呼叫者能夠控制工作階段的建立/破壞。

JSP中的管理階段作業 administrative-sessions-in-jsps

JSP無法使用loginService()，因為沒有關聯的服務。 不過，JSP中的管理階段作業通常是違反MVC範例的標誌。

此問題可透過兩種方式修正：

首選方法是第一個方法。

處理事件、複製前置處理器和作業 processing-events-replication-preprocessors-and-jobs

處理事件或工作（有時是工作流程）時，觸發事件的對應工作階段會遺失。 這會導致事件處理常式和工作處理常式使用管理工作階段來執行其工作。 有不同可行的方法可解決此問題，各有其優缺點：

第三種方法是慣用的處理技術。

工作流程處理 workflow-processes

在工作流程實作中，觸發工作流程的對應使用者工作階段會遺失。 這會導致工作流程處理經常使用管理階段來執行其工作。

若要修正這些問題，建議使用處理事件、復寫前置處理器和工作中提到的相同方法。

Sling POST處理器與已刪除頁面 sling-post-processors-and-deleted-pages

Sling POST處理器實施中會使用幾個管理工作階段。 通常，管理工作階段會用來存取處理之POST內擱置刪除的節點。 因此，無法再透過要求工作階段使用這些功能。 可能會存取擱置刪除的節點，以揭露原本不應存取的中繼資料。