简介蓝凌标准产品V16.0管理员手册-admin.do配置面向企业信息化系统的运维与管理人员聚焦后台管理端的参数配置与日常维护帮助读者快速掌握系统部署与调优的关键环节。手册围绕数据库、全局参数、消息机制、存储、附件、REDIS缓存、全文索引、MQ、JMX服务、日志参数、运营日志采集及GZIP压缩等模块展开并延伸至系统安全与身份验证、会话管理等章节目录结构清晰便于按需查阅。资源包共1个PDF文件约2.65MB内容为完整的中文配置说明文档适合作为实施与运维阶段的案头参考。目前已有951人学习下载读者可从中获取各配置项的设置思路、REDIS在本系统中的用途说明以及安全验证机制等实用信息为系统稳定运行与性能优化提供支撑。1. 蓝凌 V16.0 管理员手册里那个 admin.do 配置页到底管什么很多做过蓝凌 OA 实施的同学都有过这种经历系统跑得好好的某天业务方突然说“组织架构同步不过来了”“单点登录跳转白屏”“附件上传报 413”你打开管理员手册翻到 admin.do 那一章发现文档只写了“进入后台管理页面进行相关配置”具体每个参数什么含义、改了会触发什么连锁反应全靠自己试。蓝凌标准产品 V16.0 管理员手册里的 admin.do 配置本质上就是整个 OA 系统的“总控台入口”——它不是一个单独功能而是一组后台管理路由的集合涵盖组织同步、认证对接、缓存刷新、日志级别、附件策略等模块。这篇笔记不逐条翻译手册而是把 admin.do 下面最常被改、最容易改出问题的几类配置拆开讲清楚每个参数背后的机制、改之前要确认什么、改完怎么验证。适合正在做蓝凌 V16.0 实施或运维的工程师也适合刚接手一套存量系统、需要快速摸清后台配置边界的人。2. admin.do 的入口机制与权限模型为什么你登录了却看不到菜单2.1 admin.do 不是单个页面而是一组路由前缀蓝凌 V16.0 的后台管理入口统一挂在/admin.do这个路径下通过method参数区分具体功能模块。比如admin.do?methodsysConfig进系统参数配置admin.do?methodorgSync进组织同步管理admin.do?methodcacheManage进缓存管理。这种设计的好处是一个入口收口所有后台操作坏处是权限控制粒度容易出问题——很多实施人员反馈“用管理员账号登录了但某些菜单就是不显示”根因往往不在账号本身而在角色-资源映射表里缺少对应 method 的授权记录。常见做法是先在数据库里确认当前账号绑定的角色再检查该角色是否关联了目标 method 对应的资源编码。蓝凌 V16.0 的资源编码一般以ADMIN_开头比如ADMIN_SYS_CONFIG、ADMIN_ORG_SYNC。如果资源表里有记录但角色没关联菜单就不会渲染。这一步排查不需要改代码直接查TD_SYS_RESOURCE和TD_SYS_ROLE_RESOURCE两张表即可。-- 查当前账号的角色绑定 SELECT r.FD_ROLE_ID, r.FD_ROLE_NAME FROM TD_SYS_USER_ROLE ur JOIN TD_SYS_ROLE r ON ur.FD_ROLE_ID r.FD_ROLE_ID WHERE ur.FD_USER_ID 你的账号ID; -- 查该角色是否关联了 admin 相关资源 SELECT res.FD_RESOURCE_CODE, res.FD_RESOURCE_NAME FROM TD_SYS_ROLE_RESOURCE rr JOIN TD_SYS_RESOURCE res ON rr.FD_RESOURCE_ID res.FD_RESOURCE_ID WHERE rr.FD_ROLE_ID 上一步查到的角色ID AND res.FD_RESOURCE_CODE LIKE ADMIN_%;逻辑说明第一条 SQL 拿到账号对应的角色 ID第二条 SQL 检查该角色是否拥有ADMIN_前缀的资源授权。如果第二条查出来是空集说明角色没配后台权限需要去角色管理里补授权。参数上注意FD_USER_ID和FD_ROLE_ID在不同部署里可能是数字或 UUID 字符串直接照抄表里的值即可不要手动转换类型。2.2 超级管理员与普通管理员的边界在哪蓝凌 V16.0 里有一个内置的超级管理员账号通常在初始化时设定它不走角色-资源映射而是通过配置文件里的白名单直接放行。这个设计是为了防止管理员误删角色导致后台彻底进不去。但很多实施人员会把日常运维账号也设成超级管理员结果操作日志里分不清谁改了什么。我一般建议超级管理员只用于初始化配置和紧急恢复日常的组织同步、缓存刷新、日志调整用普通管理员账号并且给每个运维人员单独开账号不要共用。判断当前账号是不是超级管理员可以看登录后 admin.do 页面左上角是否显示“系统超级管理员”标识或者直接查配置文件里superAdmin对应的账号列表。这个列表一般在WEB-INF/classes/sysconfig.properties或数据库的TD_SYS_CONFIG表里键名类似SYS_SUPER_ADMIN。改这个配置需要重启应用才生效所以不要在生产环境频繁调整。2.3 登录态与 admin.do 的会话超时陷阱admin.do 下的操作大多涉及敏感配置所以会话超时时间比前台短。蓝凌 V16.0 默认后台会话超时是 30 分钟前台是 60 分钟。这个差异导致一个经典翻车场景你在 admin.do 里填了一半的组织同步映射规则去查了个文档回来点保存页面直接跳登录页填的内容全丢。解决办法是在web.xml里找到session-timeout配置把后台相关的 servlet 映射单独设长一点或者养成“填一段保存一段”的习惯。!-- web.xml 中后台会话超时调整示例 -- session-config session-timeout60/session-timeout !-- 单位分钟 -- /session-config逻辑说明session-timeout控制的是整个应用的会话超时改大会影响所有页面。如果只想延长后台需要在 admin.do 对应的 servlet 里单独处理但蓝凌标准产品没有暴露这个粒度的配置所以实际做法通常是整体调到 60 分钟然后在前台页面加自动刷新保活。参数上注意单位是分钟填 0 表示永不过期生产环境不要这么干。3. 组织同步配置从 LDAP 到 admin.do 的字段映射怎么调3.1 组织同步的三种模式与选型理由蓝凌 V16.0 的组织同步支持三种模式全量同步、增量同步、手动导入。全量同步适合首次对接或组织架构大调整后使用它会清空现有组织数据再重新拉取风险极高生产环境慎用。增量同步是日常推荐模式只同步上次同步时间之后有变更的部门、岗位、人员。手动导入适合临时补录或小规模调整通过 Excel 模板导入不走接口。选型上如果对方系统支持标准 LDAP 协议优先用增量同步如果对方只提供数据库视图或 API那就用蓝凌的“自定义数据源”模式在 admin.do 里配置 SQL 查询语句定时拉取。我见过不少项目一开始图省事用手动导入结果人员入职离职频繁HR 天天催着更新最后还是得切回自动同步。3.2 在 admin.do 里配置 LDAP 数据源的完整步骤进入admin.do?methodorgSync选择“LDAP 数据源配置”填写以下参数参数名说明示例值服务器地址LDAP 服务 IP 或域名10.0.0.1端口默认 389SSL 为 636389Base DN搜索根节点dcexample,dccom绑定 DN同步账号cnsync,ouusers,dcexample,dccom绑定密码同步账号密码按实际填写用户过滤器筛选需要同步的用户(objectClassperson)部门过滤器筛选需要同步的部门(objectClassorganizationalUnit)同步周期定时任务间隔分钟60填完后点“测试连接”如果报javax.naming.AuthenticationException先检查绑定 DN 和密码如果报CommunicationException检查网络和端口。测试通过后保存再点“立即同步”做一次全量拉取观察日志里是否有字段映射警告。3.3 字段映射表哪些字段必须对哪些可以留空组织同步的核心是字段映射。蓝凌 V16.0 的用户表关键字段包括FD_LOGIN_NAME登录名、FD_USER_NAME显示名、FD_EMAIL、FD_MOBILE、FD_DEPT_ID部门 ID。LDAP 侧的属性名各厂商不同比如 AD 是sAMAccountName、displayName、mail、mobileOpenLDAP 可能是uid、cn、mail。映射时登录名和部门 ID 必须对否则同步过来的人登不进系统或者挂在根部门下。# 字段映射配置示例admin.do 里以键值对形式填写 FD_LOGIN_NAMEsAMAccountName FD_USER_NAMEdisplayName FD_EMAILmail FD_MOBILEmobile FD_DEPT_IDdepartmentNumber逻辑说明左边是蓝凌的字段名右边是 LDAP 属性名。FD_DEPT_ID的映射尤其容易出问题——LDAP 里部门通常用 DN 表示而蓝凌需要的是部门在 OA 里的 ID所以中间需要一个转换规则。常见做法是在 admin.do 的“部门映射”页里先做一次部门 DN 到 OA 部门 ID 的对照表同步时按对照表转换。如果对照表里没有的部门同步会跳过该用户并在日志里记DEPT_NOT_MAPPED警告。3.4 同步日志怎么看三个关键字段定位失败原因同步完成后在admin.do?methodorgSyncLog里能看到每次同步的详细日志。重点看三个字段SYNC_TYPE全量/增量、FAIL_COUNT失败条数、FAIL_REASON失败原因。如果FAIL_COUNT大于 0点进去看具体是哪条记录失败。常见原因有登录名重复LDAP 里有两个相同sAMAccountName、部门未映射、邮箱格式不合法。登录名重复的处理方式是在 LDAP 侧先清理不要指望 OA 侧自动去重蓝凌默认遇到重复登录名会跳过并记警告不会覆盖已有用户。4. 认证对接与单点登录admin.do 里的 SSO 参数怎么设才不白屏4.1 SSO 对接的两种常见协议与蓝凌侧的配置位置蓝凌 V16.0 支持 CAS 和 OAuth2 两种 SSO 协议配置入口都在admin.do?methodssoConfig。CAS 适合内网统一认证平台OAuth2 适合对接外部身份提供商。选型上如果对方已经有一套 CAS 服务且所有内部系统都接入了那就跟着用 CAS如果对方是云平台或需要移动端接入OAuth2 更合适。配置项包括认证服务器地址、客户端 ID、客户端密钥、回调地址、用户标识字段。回调地址必须和认证服务器上注册的完全一致包括协议、域名、端口、路径差一个字符就会白屏或报redirect_uri_mismatch。我一般会在配置完后用浏览器的开发者工具看网络请求确认回调请求有没有发出、返回的状态码是什么。4.2 白屏问题的排查路径从浏览器到应用日志SSO 白屏是最常见的翻车场景排查顺序建议从外到内浏览器地址栏是否跳到了认证服务器如果没跳说明蓝凌侧的 SSO 开关没生效检查admin.do里 SSO 是否启用、拦截器配置是否正确。认证服务器返回后是否跳回了回调地址如果跳回了但页面空白看浏览器控制台有没有 JavaScript 报错常见的是token解析失败。应用日志里搜SSO关键字看有没有AuthenticationException或TokenValidationException。如果是 token 签名不匹配检查客户端密钥是否填错如果是 token 过期检查服务器时间是否同步。# 在应用日志目录下快速过滤 SSO 相关错误 tail -f catalina.out | grep -i sso\|token\|authentication逻辑说明tail -f实时跟踪日志grep过滤关键词。如果日志量太大可以先把日志级别调到DEBUG在admin.do?methodlogConfig里把com.landray.kmss.sso包的日志级别设为DEBUG复现一次白屏后再调回INFO。注意生产环境不要长期开DEBUG日志膨胀很快。4.3 用户标识字段的映射为什么登录后变成了另一个人SSO 对接时认证服务器返回的用户标识字段通常是sub或userId需要映射到蓝凌的FD_LOGIN_NAME。如果映射错了就会出现 A 登录进去显示的是 B 的信息。这个问题的根因一般是认证服务器返回的字段名和蓝凌配置里写的不一致比如认证服务器返回user_name蓝凌配置里写的是username大小写或下划线差异导致取不到值系统就用了默认值或上一个会话的值。解决办法是在admin.do?methodssoConfig里把“用户标识字段”改成认证服务器实际返回的字段名然后清一次浏览器缓存再试。如果还是不对在回调接口的日志里打印完整的 token 解析结果对比字段名。蓝凌标准产品没有提供 token 解析的调试页面所以这一步通常需要临时加日志或抓包。5. 避坑与排查admin.do 配置改完不生效的五个血泪经验5.1 改了配置但页面没变化——缓存没刷现象在 admin.do 里改了系统参数保存成功但前台页面行为没变。原因蓝凌 V16.0 有多级缓存包括应用级缓存、页面级缓存、浏览器缓存。admin.do 保存后只写了数据库没有主动清缓存。解决进admin.do?methodcacheManage点“清除全部缓存”然后强制刷新浏览器CtrlF5。如果还不行重启应用。5.2 组织同步后人员登录不了——登录名大小写问题现象LDAP 里用户能查到同步日志显示成功但用户登录提示“账号不存在”。原因LDAP 的sAMAccountName可能包含大写字母而蓝凌默认登录名不区分大小写但存储时按原样存如果用户输入时大小写不一致某些数据库排序规则下会匹配失败。解决在字段映射时统一转小写或者在蓝凌侧开启“登录名忽略大小写”选项在admin.do?methodsysConfig的安全设置里。5.3 SSO 回调地址配了 HTTPS 但实际走 HTTP——协议不匹配现象SSO 配置里回调地址写的是https://oa.example.com/sso/callback但实际请求走的是 HTTP导致认证服务器拒绝。原因蓝凌部署在反向代理后面应用本身以为自己是 HTTP生成的回调地址就是 HTTP。解决在反向代理里配置X-Forwarded-Proto头并在蓝凌的server.xml或应用配置里开启proxyPort和scheme识别。这个坑在 Nginx 反代场景下特别常见。5.4 附件上传报 413——admin.do 里的限制没改对现象用户上传超过 10MB 的附件报 413 Request Entity Too Large。原因蓝凌 V16.0 的附件大小限制有三个地方Nginx 的client_max_body_size、Tomcat 的maxPostSize、蓝凌 admin.do 里的“附件最大尺寸”。只改其中一个不生效。解决三处都改Nginx 改client_max_body_size 50m;Tomcat 在server.xml的 Connector 里加maxPostSize52428800admin.do 里把附件限制调到 50MB。改完重启。5.5 日志级别调了但日志没变——配置文件覆盖了数据库现象在 admin.do 里把某个包的日志级别设为 DEBUG但日志文件里还是只有 INFO。原因蓝凌的日志配置优先读log4j2.xml或logback.xml文件数据库里的配置只在文件里没定义时才生效。解决直接改日志配置文件或者在 admin.do 里确认“配置来源”是数据库优先。我一般建议生产环境直接改文件因为文件改完重启就生效数据库配置有时候需要等定时刷新。6. 用 admin.do 做配置版本比对与回滚的实操技巧admin.do 里的配置项散落在多个 method 下改多了之后很容易忘记某个参数原来是什么值。我自己的习惯是每次做批量配置变更前先在admin.do?methodsysConfig里点“导出配置”会生成一个 XML 文件里面包含当前所有系统参数、SSO 配置、组织同步映射。这个文件就是你的“后悔药”。变更完成后再导出一次用 diff 工具比对两个 XML就能清楚看到改了哪些项。# 比对两次导出的配置差异 diff -u config_before.xml config_after.xml config_diff.txt逻辑说明diff -u输出统一格式的差异-u会显示上下文方便定位。如果差异文件太大可以用grep过滤只看变化的行grep ^[-] config_diff.txt | grep -v ^[-][-]。参数上注意导出的 XML 里可能包含密码字段比对时注意脱敏不要把 diff 文件随便发出去。回滚的时候如果只是个别参数改错了直接在 admin.do 里改回去就行。如果是批量改错了把之前导出的 XML 通过“导入配置”功能恢复。但要注意导入配置会覆盖当前所有配置包括你后来改对的部分所以导入前先导出当前配置做备份。这个操作我一般只在测试环境做生产环境宁可手动逐项改也不轻易点“导入配置”。还有一个技巧admin.do 的很多配置项在数据库里都有对应的TD_SYS_CONFIG记录键名以SYS_开头。如果你知道键名可以直接查数据库确认当前值不用登录后台。比如查 SSO 是否启用SELECT FD_CONFIG_KEY, FD_CONFIG_VALUE FROM TD_SYS_CONFIG WHERE FD_CONFIG_KEY LIKE SYS_SSO%;逻辑说明FD_CONFIG_KEY是配置键FD_CONFIG_VALUE是值。这种方式适合快速确认某个开关的状态但不适合直接改——直接改数据库不会触发缓存刷新改了也不生效还是得走 admin.do 页面。所以查可以改还是走页面。最后说一个我踩过的坑有一次在 admin.do 里调了组织同步的定时任务周期从 60 分钟改成 10 分钟保存后没重启结果定时任务还是按 60 分钟跑。后来发现蓝凌的定时任务配置在保存后需要重启应用才重新加载。所以凡是涉及定时任务、线程池、缓存策略的配置改完都重启一次别省那两分钟。希望帮到你。本文还有配套的精品资源点击获取