Apache CXF无Spring环境下@RolesAllowed注解不生效问题求助

问题根因 #

你的配置存在两个核心问题：一是Feature的注册方式不符合CXF的初始化逻辑，二是缺少SecurityContext的正确注入——CXF的SecureAnnotationsInterceptor完全依赖该上下文获取用户角色，才能匹配@RolesAllowed的权限规则。

正确实现步骤 #

1. 修正RolesAllowedCXFFeature实现 #

无需手动绑定Filter和Interceptor，直接注册CXF原生组件即可：

public class RolesAllowedCXFFeature implements Feature {
    @Override
    public boolean configure(FeatureContext context) {
        // 注册安全注解拦截器，负责解析@RolesAllowed等注解
        context.register(SecureAnnotationsInterceptor.class);
        // 注册CXF默认授权过滤器，处理角色匹配逻辑
        context.register(SimpleAuthorizingFilter.class);
        return true;
    }
}

2. 调整Application注册方式 #

不要把Feature实例放到getSingletons()，而是通过getClasses()注册Feature类（CXF需要在初始化阶段触发Feature的configure逻辑）：

public class MyJaxRsApplication extends Application {
    @Override
    public Set<Class<?>> getClasses() {
        Set<Class<?>> classes = new HashSet<>();
        // 注册权限控制Feature
        classes.add(RolesAllowedCXFFeature.class);
        // 注册自定义认证过滤器（后续步骤实现）
        classes.add(AuthFilter.class);
        // 注册你的资源类
        classes.add(YourResourceClass.class);
        return classes;
    }

    @Override
    public Set<Object> getSingletons() {
        return new HashSet<>();
    }
}

3. 实现认证过滤器，注入SecurityContext #

这是权限生效的关键，必须在请求到达资源前设置用户角色信息：

public class AuthFilter implements ContainerRequestFilter {
    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        // 替换为你的实际认证逻辑：比如解析JWT、读取HTTP Basic认证信息等
        String username = requestContext.getHeaderString("X-Username");
        Set<String> userRoles = new HashSet<>();
        
        if ("admin".equals(username)) {
            userRoles.add("ADMIN");
        } else {
            userRoles.add("USER");
        }

        // 设置SecurityContext，供权限拦截器调用
        SecurityContext securityContext = new SecurityContext() {
            @Override
            public Principal getUserPrincipal() {
                return () -> username;
            }

            @Override
            public boolean isUserInRole(String role) {
                return userRoles.contains(role);
            }

            @Override
            public boolean isSecure() {
                return requestContext.getUriInfo().getRequestUri().getScheme().equals("https");
            }

            @Override
            public String getAuthenticationScheme() {
                return SecurityContext.BASIC_AUTH; // 根据实际认证方式调整
            }
        };
        requestContext.setSecurityContext(securityContext);
    }
}

4. 验证资源类注解 #

确保资源方法正确使用@RolesAllowed：

@Path("/api")
public class YourResourceClass {
    @GET
    @Path("/admin")
    @RolesAllowed("ADMIN")
    public String adminOnly() {
        return "Admin exclusive content";
    }

    @GET
    @Path("/user")
    @RolesAllowed("USER")
    public String userOnly() {
        return "User content";
    }
}

原配置失效的具体原因 #

1. Feature注册方式错误：CXF的Feature需要通过getClasses()注册类，而非将实例放入getSingletons()，否则无法触发Feature的configure初始化逻辑。
2. SecurityContext缺失：SecureAnnotationsInterceptor没有用户角色来源，自然无法进行权限校验。
3. 手动实例绑定不可靠：你手动创建的SimpleAuthorizingFilter和SecureAnnotationsInterceptor未被CXF的容器正确关联，直接注册类让CXF管理实例更稳定。

内容的提问来源于stack exchange，提问作者Adrian Ber