基于WildFly Elytron实现2FA/MFA：能否用标准组件而非自定义Realm？

不需要自定义Realm，WildFly内置的JAAS登录模块组合就能满足你的密码+OTP双因素认证需求，具体实现方式如下：

• 核心思路：通过配置多个JAAS登录模块并设置required控制标志，要求密码验证和OTP验证必须同时通过才算认证成功，避开你提到的aggregate/failover/distributed realm的功能局限。

• 具体配置步骤：

  1. 在WildFly的standalone.xml或domain.xml的security-domains节点下，创建包含双验证模块的安全域：

     <security-domain name="mfa-security-domain" cache-type="default">
         <authentication>
             <!-- 第一个模块：验证用户静态密码 -->
             <login-module code="Database" flag="required">
                 <module-option name="dsJndiName" value="java:jboss/datasources/YourUserDS"/>
                 <module-option name="principalsQuery" value="SELECT password FROM users WHERE username=?"/>
                 <module-option name="rolesQuery" value="SELECT role, 'Roles' FROM user_roles WHERE username=?"/>
             </login-module>
             <!-- 第二个模块：验证OTP一次性密码 -->
             <login-module code="org.jboss.security.auth.spi.OTPLoginModule" flag="required">
                 <module-option name="dsJndiName" value="java:jboss/datasources/YourUserDS"/>
                 <!-- 查询用户的OTP共享密钥 -->
                 <module-option name="otpQuery" value="SELECT totp_secret FROM users WHERE username=?"/>
                 <!-- 允许3个时间步长偏移，避免时间同步问题 -->
                 <module-option name="windowSize" value="3"/>
             </login-module>
         </authentication>
     </security-domain>
     

  2. 应用侧调整：登录表单需同时收集用户名、密码和OTP码，提交时将这三个参数传递给WildFly的认证接口即可——JAAS会自动依次调用两个模块完成双重验证。

• 关键说明：

  • OTPLoginModule支持TOTP标准，需提前在用户表中存储每个用户的TOTP共享密钥（用户注册时生成并绑定）。
  • required标志确保两个模块必须都验证通过，任何一个失败都会导致整体认证失败，正好匹配你需要的双因素逻辑。

这种方案完全基于WildFly的标准组件，无需自定义Realm或扩展，完美避开现有realm类型的功能局限。

内容的提问来源于stack exchange，提问作者László Tóth