WildFly 28 Elytron JDBC Realm Web应用认证失败求助

当前配置的问题点 #

1. 角色映射与解码不匹配：simple-role-decoder指定的属性为roles，但JDBC Realm的属性映射将数据库role字段映射到了Roles（首字母大写），大小写敏感导致角色无法正确识别。
2. 密码验证编码未明确：原PicketBox配置明确了密码哈希编码为Base64，但当前Elytron的simple-digest-mapper未指定编码方式，可能导致密码验证失败。
3. 安全域绑定方式错误：原jboss-web.xml中的<security-domain>是PicketBox的配置格式，不适用于Elytron。

正确配置步骤 #

1. 修正standalone.xml中的Elytron配置

调整JDBC Realm的属性映射、角色解码器，并明确密码编码方式，匹配原PicketBox的配置：

<subsystem xmlns="urn:wildfly:elytron:17.0" final-providers="combined-providers" disallowed-providers="OracleUcrypto">
    <security-domains>
        <security-domain name="MyDomain" default-realm="jdbc-realm" permission-mapper="default-permission-mapper">
            <realm name="jdbc-realm" role-decoder="from-roles-attribute"/>
        </security-domain>
    </security-domains>
    <security-realms>
        <jdbc-realm name="jdbc-realm">
            <principal-query sql="SELECT role, password FROM systemuser WHERE username = ?" data-source="elytronDS">
                <!-- 统一属性名，与角色解码器匹配 -->
                <attribute-mapping>
                    <attribute to="roles" index="1"/>
                </attribute-mapping>
                <!-- 明确密码编码为Base64，对齐原配置 -->
                <simple-digest-mapper algorithm="simple-digest-sha-256" password-index="2" encoding="base64"/>
            </principal-query>
        </jdbc-realm>
    </security-realms>
    <mappers>
        <simple-role-decoder name="from-roles-attribute" attribute="roles"/>
    </mappers>
</subsystem>

2. 更新Web应用的安全域绑定

修改jboss-web.xml，使用Elytron专属的绑定标签：

<?xml version="1.0" encoding="UTF-8"?>
<jboss-web>
    <elytron-security-domain>MyDomain</elytron-security-domain>
</jboss-web>

注：WildFly 28兼容jboss-web.xml，若为新项目也可使用wildfly-web.xml，配置内容一致。

3. 基础验证

• 确认elytronDS数据源能正常连接数据库，且具备systemuser表的查询权限。
• 核对数据库中密码哈希值：明文q经SHA-256哈希后Base64编码的结果应为jjXCzTv2ZBvbDiBQt2kyy7LmA0oN2swdm+qCprpX988=，与现有数据一致。

是否需要创建wildfly-config.xml？ #

不需要。wildfly-config.xml主要用于客户端应用、JDBC驱动认证或全局应用配置，Web应用绑定Elytron安全域仅需通过jboss-web.xml/wildfly-web.xml即可完成，无需额外创建该文件。

额外排查建议 #

• 查看WildFly服务器日志（standalone/log/server.log），定位认证失败的具体错误（如角色未识别、密码验证失败等）。
• 确认web.xml中<login-config>的realm-name与Elytron安全域名称MyDomain完全一致。

内容的提问来源于stack exchange，提问作者Papp Zoltán