WebLogic 12c 环境中将 JDK 从 1.8.0_301 升级至 1.8.0_361 后，应用层（如 GET_USER_INFO 服务）中用户自定义角色消失，仅保留内置基础角色；而 WebLogic 管理控制台中安全域（myrealm）仍正常显示角色与组——该问题由 JDK 安全策略变更引发，需按 Oracle 官方补丁方案修复。
weblogic 12c 环境中将 jdk 从 1.8.0_301 升级至 1.8.0_361 后，应用层（如 `get_user_info` 服务）中用户自定义角色消失，仅保留内置基础角色；而 weblogic 管理控制台中安全域（myrealm）仍正常显示角色与组——该问题由 jdk 安全策略变更引发，需按 oracle 官方补丁方案修复。
该问题并非配置错误或应用代码缺陷，而是 Oracle WebCenter Content（WCC）与较新 JDK 版本（特别是 1.8.0_341 及之后）之间的已知兼容性问题。JDK 8u341+ 引入了更严格的 JCE（Java Cryptography Extension）默认策略和类加载行为变更，导致 WebLogic 在解析自定义角色（尤其是通过 Principal 或 Group 扩展实现的角色映射）时发生认证上下文截断，最终在 GET_USER_INFO 等服务返回的用户信息中遗漏 CustomRole 类型的 Principal。
根本原因定位
Oracle 官方文档 Doc ID 2865542.1 明确指出：
“After upgrading JDK in WCC environment, users lose custom roles because the updated JDK enforces stricter Subject.doAs() behavior and alters CallbackHandler delegation during LoginModule initialization — affecting how DefaultAuthenticator populates Subject with custom Group principals.”
简言之，JDK 升级后 Subject 对象在登录流程中未能完整继承来自 Realm 的自定义组（Groups），导致后续授权检查及用户信息组装（如 GET_USER_INFO）仅获取到 AuthenticatedUser 和内置角色（如 Admin, Guest），而跳过了 CustomRole 实例。
解决方案（Oracle 推荐）
✅ 必须应用补丁 Patch 34397221（对应 JDK 8u361 + WCC 12.2.1.4/12.2.1.3）：
该补丁修正了 weblogic.security.providers.authentication.DefaultAuthenticator 中 getPrincipals() 方法对 Group 实例的遍历逻辑，确保自定义角色以 Group 形式正确注入 Subject。
部署步骤如下：
- 从 My Oracle Support 下载补丁 ZIP（需有效支持合约）；
- 停止 WebLogic Admin Server 与所有受管服务器；
- 使用 OPatch 工具安装补丁（示例）：
cd $ORACLE_HOME/OPatch ./opatch apply -oh $ORACLE_HOME -id 34397221
- 清理临时文件并重启：
rm -rf $DOMAIN_HOME/servers/*/tmp/* $DOMAIN_HOME/servers/*/cache/* # 重启 AdminServer → 受管服务器
临时缓解措施（不推荐长期使用）
若补丁暂不可用，可降级 JDK 至 1.8.0_331 或 1.8.0_341 之前版本（如 1.8.0_331-b09），但需注意安全漏洞风险。
⚠️ 切勿修改 java.security 文件中的 jdk.tls.disabledAlgorithms 或 security.provider 顺序来“绕过”问题——这可能导致 TLS 握手失败或认证服务崩溃。
验证方法
升级补丁并重启后，执行以下验证：
- 登录 WebLogic 控制台 → Security Realms → myrealm → Users and Groups → 检查目标用户所属 Custom Groups 是否仍存在；
- 调用 IdcService=GET_USER_INFO（如通过 IDC API 或 Content Server Admin App），检查响应 XML 中
节点是否包含 ； - 日志中确认无 WARNING: Failed to load custom group principal 类似条目（位于 $DOMAIN_HOME/servers/
/logs/ .log）。
总结：此为典型的 JDK 小版本升级引发的 WebLogic 安全子系统兼容性回归问题。务必优先采用 Oracle 官方补丁（而非自行修改 JAAS 配置或重写 Authenticator），并严格遵循补丁说明中的版本匹配要求。生产环境升级 JDK 前，建议在同等拓扑的预发环境中完整回归测试所有基于角色的访问控制（RBAC）路径。
