Wildfly 15升级至26后JavaEE应用Kerberos认证失效求助

1. 核对Elytron Kerberos核心配置 #

• 确认java.security.krb5.conf系统属性已正确设置，可在应用中通过System.getProperty("java.security.krb5.conf")打印验证路径有效性，确保配置文件内容与Wildfly15环境一致。
• 检查kerberos-security-domain配置：
  • key-tab-path需使用绝对路径或Wildfly启动目录相对路径，Elytron不支持旧模块的模糊路径配置；
  • server-principal必须与Kerberos服务器中注册的SPN完全匹配，格式为HTTP/your-app-domain@REALM；
  • 确保krb5-config引用的配置文件路径正确，且kerberos-realm与Kerberos Realm名称一致。
• 验证http-authentication-factory配置：需指定mechanism-name=SPNEGO，并关联正确的authentication-configuration（绑定Kerberos安全域）。

2. 确认Undertow与Elytron绑定逻辑 #

• 检查Undertow子系统的server节点，确保其http-authentication-factory引用的是Kerberos对应的工厂实例，而非默认的BASIC认证工厂。
• 核对jboss-web.xml：将<security-domain>值替换为Elytron风格的安全域名称（如kerberos-security-domain），而非旧AS7的java:/jaas/xxx格式。
• 确保Undertow的host配置未同时启用其他认证机制，避免SPNEGO失败后触发BASIC认证弹出输入框。

3. 排查SPNEGO认证流程日志 #

• 开启Elytron DEBUG日志：在Wildfly配置中添加日志器：

  <logger category="org.wildfly.security">
      <level name="DEBUG"/>
  </logger>
  

• 启动服务器后观察日志，重点查看：
  • 是否有SPNEGO令牌接收与解析记录；
  • 是否出现Principal提取成功的日志；
  • 是否存在Kerberos票据验证失败的错误信息（如密钥不匹配、SPN未注册等）。

4. 修复浏览器弹出账号密码框问题 #

• 弹出框通常因SPNEGO认证失败，服务器回退至BASIC认证导致：
  • 验证客户端Kerberos票据有效性：在客户端执行klist命令查看是否有对应SPN的票据；
  • 确认应用域名已加入浏览器本地Intranet区域，确保浏览器自动发送Kerberos票据；
  • 检查Kerberos服务器中是否已正确注册应用的SPN，且密钥表文件（krb5.keytab）与服务器端一致。

5. 代码层面验证上下文有效性 #

• 在应用的Servlet/EJB业务方法中添加调试代码，确认SecurityContext状态：

  // Servlet环境示例
  @WebServlet("/test-auth")
  public class AuthTestServlet extends HttpServlet {
      protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          System.out.println("User Principal: " + request.getUserPrincipal());
          System.out.println("Authenticated: " + request.isUserInRole("your-role"));
          System.out.println("Security Context Caller: " + request.getServletContext().getContext("/your-app").getSecurityContext().getCallerPrincipal());
      }
  }
  

• 避免在应用初始化阶段（如@PostConstruct）获取SecurityContext，此时上下文尚未初始化，会返回null。

内容的提问来源于stack exchange，提问作者R4yY