WebLogic 12c 环境中将 JDK 从 1.8.0_301 升级至 1.8.0_361 后，应用（如 WCC）中通过 GET_USER_INFO 获取的用户自定义角色消失，仅保留基础角色；但 WebLogic 控制台中安全域（myrealm）仍正常显示角色与组。降级 JDK 可恢复，表明问题与 JDK 版本兼容性相关。
weblogic 12c 环境中将 jdk 从 1.8.0_301 升级至 1.8.0_361 后，应用（如 wcc）中通过 `get_user_info` 获取的用户自定义角色消失，仅保留基础角色；但 weblogic 控制台中安全域（myrealm）仍正常显示角色与组。降级 jdk 可恢复，表明问题与 jdk 版本兼容性相关。
该问题并非配置错误或权限变更所致，而是 Oracle 官方确认的 JDK 升级兼容性缺陷。根据 Oracle 支持文档 Doc ID 2865542.1（After Upgrading JDK In WCC Environment, WCC Users Lost Roles），JDK 1.8.0_361 中引入的安全增强机制（特别是对 Subject.doAs() 和 JAAS CallbackHandler 的 stricter validation）导致 WebLogic 在执行 GET_USER_INFO 等身份上下文操作时，无法正确传播自定义角色（如通过 Group 或 RoleMapper 动态分配的角色）。
根本原因在于：新 JDK 对 java.security.PrivilegedAction 执行上下文中的 Subject 对象校验更严格，而 WebLogic 12c（尤其是旧补丁集）的 JAAS 实现未完全适配该行为，致使 SecurityRuntimeMBean 和 UserManager 在构建用户响应时跳过非内置角色。
✅ 推荐解决方案（按优先级排序）：
- 应用 Oracle 官方补丁：升级 WebLogic Server 至已修复该问题的版本（如 12.2.1.4.0 with PSU 2023-Q2 或更高），或单独应用补丁 WLS-2865542（需通过 My Oracle Support 获取并按说明部署）。
-
临时规避（不推荐生产长期使用）：在 setDomainEnv.sh（Linux）或 setDomainEnv.cmd（Windows）中添加 JVM 参数，放宽安全检查：
# 添加到 EXTRA_JAVA_PROPERTIES -Dsun.security.krb5.disableReferrals=true \ -Djdk.security.auth.debug=silent \ -Dweblogic.security.disableRoleInheritance=false
⚠️ 注意：-Dweblogic.security.disableRoleInheritance=false 是关键开关，确保角色继承逻辑不被意外禁用；部分环境需显式设为 true 才能绕过异常（请以测试验证为准）。
-
验证修复效果：重启 AdminServer 与所有 Managed Servers 后，调用 IdcService=GET_USER_INFO 并检查返回 XML 中
元素是否包含预期的自定义角色名（如 ）。
? 重要注意事项：
- 切勿仅依赖降级 JDK 作为长期方案，因低版本 JDK 存在已知安全漏洞（如 CVE-2022-21449、CVE-2023-21839）；
- 所有变更须在非生产环境充分测试，尤其关注 SSO 集成、LDAP 同步及自定义 RoleMapper 插件的行为；
- 若使用 WebCenter Content（WCC），还需同步检查 UCM_RUNTIME 数据源连接池及 intradoc.common.Security 日志级别（建议设为 DEBUG 以捕获角色加载详情）。
综上，该问题本质是 JDK 安全策略演进与 WebLogic 旧版 JAAS 实现之间的兼容性断层。坚持“补丁优先、配置次之、降级禁用”的原则，可兼顾安全性与功能稳定性。
