CollabNet SVN Edge如何配置密码复杂度策略？

Question

**常见技术问题：** CollabNet SVN Edge（现已停止维护，被CloudForge和Subversion Edge后续方案替代）本身**不原生支持密码复杂度策略配置**（如最小长度、大小写字母、数字、特殊字符等强制要求）。其用户认证依赖于内置Jetty容器与LDAP/AD集成或本地文件（`users.conf`），但管理界面和配置文件中均无`password-policy`相关参数。管理员常误以为可通过`svnedge.conf`或Web UI启用强密码策略，实际尝试修改`jetty-web.xml`或添加`SecurityHandler`后仍无效——因SVN Edge的认证逻辑绕过标准Servlet安全约束。若需合规性（如等保、GDPR），唯一可行路径是：1）对接外部LDAP/AD并由其强制执行复杂度；2）升级至现代替代方案（如VisualSVN Server或Apache Subversion + mod_authnz_ldap + PAM模块）。遗留系统中硬编码校验或代理层拦截属高风险定制，不推荐生产使用。

Answer 1

```html

一、常见技术问题：SVN Edge 密码策略缺失的表象与根源

CollabNet SVN Edge（2017年正式终止维护）作为一款集成化Subversion管理平台，其Web控制台与底层Jetty容器深度耦合，但users.conf仅支持明文/SHA-256哈希存储，svnedge.conf中无password-min-length、require-digit等任何密码策略字段。管理员在UI中反复查找“Security Policy”或“Password Rules”菜单项均为空白——这不是配置遗漏，而是架构级缺失。

二、分析过程：为何标准Web容器加固手段全部失效？

• Servlet安全约束被绕过：SVN Edge自定义AuthFilter直接解析HTTP Basic头并调用UserManager.authenticate()，完全跳过Jetty的ConstraintSecurityHandler生命周期；
• Jetty配置无效性验证：即使在jetty-web.xml中声明<login-config><auth-method>BASIC</auth-method></login-config>并绑定Realm，认证仍由SVN Edge内部逻辑接管；
• LDAP集成非默认启用：本地文件认证（file-realm）为默认模式，而AD/LDAP需手动开启且需额外配置ldap.conf及SSL证书信任链。

三、合规性路径对比：两种可行方案的技术纵深分析

方案	实施层级	密码策略执行主体	等保2.0三级适配度	运维复杂度（1–5）
LDAP/AD集成	身份源层	Windows Server GPO 或 OpenLDAP ppolicy overlay	★★★★☆（需启用LDAP over SSL/TLS + 账户锁定策略）	4
升级至VisualSVN Server	应用层替代	Windows本地安全策略（LAPS）或第三方PAM模块（如pam_pwquality）	★★★★★（内置AD同步+密码历史/最长使用期/最小长度策略）	2

四、高风险定制方案的典型失败案例（反模式警示）

某金融客户曾尝试在Apache反向代理层注入Lua脚本校验POST /auth/login请求体中的password字段：

location /auth/login {
  content_by_lua_block {
    local pwd = ngx.var.arg_password
    if not (string.len(pwd) >= 8 
        and string.match(pwd, "%u") 
        and string.match(pwd, "%l") 
        and string.match(pwd, "%d") 
        and string.match(pwd, "[^%w]")) then
      ngx.exit(400)
    end
  }
}

该方案上线后导致SVN Edge后台任务（如仓库同步、备份计划）因Basic Auth凭据硬编码而批量失败——因代理层未区分API调用与人工登录上下文，暴露了“策略与认证解耦”的根本矛盾。

五、演进路线图：从遗留系统到现代治理的渐进式迁移

graph LR A[SVN Edge v5.2.3] -->|Step 1: 只读镜像同步| B[Apache Subversion + mod_authnz_ldap] B -->|Step 2: 启用PAM模块| C[CentOS 8 + pam_pwquality.so
minlen=12 difok=5 maxrepeat=3] C -->|Step 3: 审计闭环| D[ELK Stack采集sshd/pam/subversion日志
关联分析弱口令爆破行为]

```