Wildfly中@OpenIdAuthenticationMechanismDefinition集成后Principal为anonymous的问题

针对你遇到的ELY01177: Authorization failed错误，以及认证后securityContext.getCallerPrincipal().getName()返回anonymous的问题，结合你的环境（Keycloak 26.0.5 + Wildfly 29.0.1.Final，integrated-jaspi=false），可以从以下几个方向排查：

1. 检查OpenID认证机制配置 #

• 确认@OpenIdAuthenticationMechanismDefinition的核心参数与Keycloak客户端完全匹配：
  • issuer必须精确到Keycloak领域路径（例如http://localhost:8080/realms/your-realm-name），不能遗漏realm部分；
  • clientId和clientSecret要和Keycloak客户端的配置完全一致，注意大小写；
  • 验证tokenValidation属性是否正确设置，建议明确指定VALIDATE_ID_TOKEN或VALIDATE_ACCESS_TOKEN，避免默认逻辑导致的token验证不完整。

2. 自定义GroupIdentityStore的实现问题 #

• 确保KickoffGroupIdentityStore正确实现GroupIdentityStore接口，并且添加@IdentityStoreDefinition注解，指定storeTypes = {IdentityStoreType.PROVIDE_GROUPS}——你的Store仅负责提供用户组，不需要处理凭证验证，避免与OpenID的内置验证逻辑冲突；
• 检查getCallerGroups方法返回的组名，必须与应用中@RolesAllowed等权限注解使用的名称完全一致（大小写敏感），否则授权时会因角色不匹配失败；
• 确认CredentialValidationResult的构建逻辑：如果基于token中的用户信息生成结果，必须使用CredentialValidationResult.success(username).groups(groups)的方式，确保状态为SUCCESS，否则认证上下文不会正确初始化。

3. Wildfly Elytron与Soteria兼容性配置 #

• 由于你设置了integrated-jaspi=false，需要确认Wildfly的standalone.xml中已正确启用Soteria模块：
  • 检查是否添加了Soteria的依赖模块，并且认证机制的优先级配置正确，避免其他security-domain覆盖OpenID认证流程；
  • 确保Elytron的http-authentication-factory没有配置冲突的认证器，比如不要同时启用表单认证等其他机制。

4. Keycloak客户端的token映射配置 #

• 登录Keycloak控制台，检查目标客户端的Mappers配置：
  • 添加Group Membership映射器，确保用户组信息被注入到ID Token或Access Token中；
  • 确认映射器的Token Claim Name和Claim JSON Type符合Soteria的预期，通常设置Claim JSON Type为String或JSON Array，并勾选Add to ID token和Add to access token。

5. 残留认证代码的干扰 #

• 彻底移除原应用中的KickoffIdentityStore及相关认证代码，包括任何自定义的AuthenticationMechanism实现，避免残留逻辑拦截或覆盖OpenID的认证上下文；
• 排查是否存在CDI拦截器、Servlet过滤器等组件，可能在认证流程后重置了SecurityContext的Principal信息。

内容的提问来源于stack exchange，提问作者grigouille