CentOS 上 WebLogic 权限问题排查与修复
一 操作系统层最小权限与运行用户
- 创建专用的系统用户与组（禁止直接用 root 运行）：执行命令 groupadd weblogic、useradd -g weblogic weblogic、passwd weblogic。
- 将 WebLogic 安装目录与域目录的所有权赋予该用户：例如 chown -R weblogic:weblogic /opt/weblogic 与 chown -R weblogic:weblogic /home/weblogic。目录权限建议 755，文件 644，可执行脚本 755。
- 如需后台服务或开机自启，使用服务脚本以 weblogic 身份切换执行（su - weblogic -c “…”），不要以 root 直接启动 WebLogic 进程。
- 涉及图形/AWT 的场景（如生成报表/验证码），在启动参数中增加 -Djava.awt.headless=true，避免 X11 权限依赖。
- 若遇到资源限制（如打开文件数、进程数），在 /etc/security/limits.conf 为 weblogic 用户提升限制，例如：
weblogic soft nofile 65536
weblogic hard nofile 65536
weblogic soft nproc 4096
weblogic hard nproc 4096
以上做法可同时提升安全性与稳定性，并减少因权限/资源导致的启动与运行异常。
二 启动身份与 boot.properties 认证问题
- 常见报错：Authentication denied: Boot identity not valid。根因多为 boot.properties 中用户名或密码与当前域不一致。
- 修复步骤：
- 在域根目录找到或创建 security/boot.properties；
- 以明文写入 username=weblogic 与 password=你的密码；
- 使用 weblogic 用户首次启动，文件会自动被加密；
- 若仍失败，检查域目录、security 子目录及文件属主是否为 weblogic，权限是否足够。
- 如遗忘管理密码，可按官方流程使用 weblogic.security.utils.AdminAccount 工具重建管理员（示例命令在相应 WebLogic 版本的 server/lib/weblogic.jar 中），并清理被管服务器域下的 ldap 初始化标记文件后再启动。操作前务必备份。
三 文件与目录权限的快速修复清单
- 检查关键目录与脚本权限：
- 安装目录与域目录：chown -R weblogic:weblogic <WL_HOME> 与 <DOMAIN_HOME>；目录 755，文件 644，脚本 755。
- 日志目录：确保 weblogic 对 <DOMAIN_HOME>/servers//logs 有写权限。
- 临时与缓存：如 /tmp、<DOMAIN_HOME>/tmp 对 weblogic 可写。
- 启动失败若提示“权限不足/无法执行”，优先确认脚本与目录的执行/读写权限是否正确，再检查是否误用 root 启动导致文件属主异常。
- 避免使用过于宽松的权限（如 777）；遵循最小权限原则。
四 日志定位与常见场景对照
- 日志路径：优先查看 <DOMAIN_HOME>/servers//logs 下的 server.log、nohup.out 与启动时控制台输出，定位是 OS 层权限、认证还是应用层安全策略问题。
- 典型场景与处理建议：
- OS 层“权限被拒绝/无法创建文件”：核对目录属主与权限、父目录执行权限、磁盘空间与配额。
- 启动认证失败：核对 boot.properties 明文密码与域一致性，首次启动由 weblogic 用户执行以完成加密。
- 被管服务器无法启动或与管理服务器认证失败：检查域间通信、节点管理器配置与凭据一致性，必要时清理被管域下 ldap 初始化标记后重启。
- 资源限制导致启动异常：检查 /var/log/secure、messages 中的 pam/limits 相关报错，按 limits.conf 调整并重新登录生效。
