WildFly管理页经Traefik代理后返回403问题求助

问题 #

使用WildFly 26.1.3，将管理接口配置为HTTP协议、端口8990：

<management-interfaces>
    <http-interface http-authentication-factory="management-http-authentication">
        <http-upgrade enabled="true" sasl-authentication-factory="management-sasl-authentication"/>
        <socket-binding http="management-http"/>
    </http-interface>
</management-interfaces>

直接用curl --digest http://127.0.0.1:8990/management搭配凭证可正常登录。

但通过Traefik 3.1.0反向代理后（Traefik入口点监听9990端口并启用TLS），访问管理页面时，凭证输入后被接受，但页面空白，浏览器控制台显示多个请求返回403：

• https://host.domain.com:9990/management
• https://host.domain.com:9990/console/OpenSans-Regular-webfont.b6d3c411.woff2
• https://host.domain.com:9990/console/OpenSans-Regular-webfont.e5de314f.woff
• https://host.domain.com:9990/console/OpenSans-Regular-webfont.8bd2b33b.ttf

Traefik核心配置如下：

Traefik入口点配置 #

mgmt:
  http2:
    maxConcurrentStreams: 250
  address: :9990
  transport:
    respondingTimeouts:
      readTimeout: 0

Traefik管理接口路由配置 #

http:
  routers:
    router-mgmt-secure:
      rule: Host(`host.domain.com`)
      service: gateway-mgmt
      entryPoints:
      - mgmt
      middlewares:
      - hsts-header
      tls: {}
  middlewares:
    hsts-header:
      headers:
        browserXSSFilter: true
        contentTypeNosniff: true
        forceSTSHeader: true
        stsIncludeSubdomains: true
        stsSeconds: 63072000
        frameDeny: true
  services:
    gateway-mgmt:
      loadBalancer:
        serversTransport: insecureTransport
        servers:
        - url: http://127.0.0.1:8990/
        passHostHeader: true
  serversTransports:
    insecureTransport:
      insecureSkipVerify: true

当将WildFly管理接口改为SSL配置，同时把Traefik后端地址改为https://后，问题消失，页面可正常访问。

原因分析 #

1. Digest认证的协议上下文不匹配
   WildFly的Digest认证机制会依赖请求的协议（HTTP/HTTPS）生成认证校验参数。当Traefik前端是HTTPS、后端转发到WildFly的HTTP时，WildFly收到的请求是HTTP协议，但浏览器发送的认证头是基于HTTPS环境生成的，两者协议上下文不一致，导致WildFly对后续请求（如静态资源、二次访问/management）的认证校验失败，返回403。

2. WildFly管理控制台的安全访问策略
   WildFly管理控制台的静态资源（如字体文件）默认会检查请求的安全上下文：当管理接口本身为HTTP时，控制台默认认为只有同协议的直接访问合法；通过HTTPS反向代理访问时，WildFly无法识别前端的安全连接，会拒绝这些静态资源的访问，导致页面空白。

3. 反向代理头信息缺失
   在HTTP后端场景下，Traefik默认未向WildFly传递X-Forwarded-Proto等标识前端协议的头信息，WildFly无法感知到用户实际是通过HTTPS访问，因此会按照HTTP的安全策略处理请求，拒绝符合HTTPS场景的资源访问。

内容的提问来源于stack exchange，提问作者Marko Todoric