如何在不使用@RolesAllowed注解时用MicroProfile JWT保护API

核心结论 #

MicroProfile JWT 1.2规范本身并没有强制要求必须通过@RolesAllowed触发令牌验证，但默认情况下OpenLiberty等实现仅会在端点或应用配置安全注解时启用JWT验证逻辑。你可以通过以下几种方式实现全局令牌验证，无需指定角色：

方法1：用@PermitAll注解全局触发验证 #

在你的Application子类或所有REST端点类上添加@PermitAll注解，即可对目标范围的端点启用身份验证但跳过角色校验：

import javax.ws.rs.ApplicationPath;
import javax.ws.rs.core.Application;
import javax.annotation.security.PermitAll;

@ApplicationPath("/api")
@PermitAll
public class MyApp extends Application {
    // 应用配置内容
}

@PermitAll的作用是允许所有已通过身份验证的用户访问，这会触发JWT令牌的完整验证流程（检查签名、有效期、签发方等），但不会校验任何角色声明，完全匹配你的需求。

方法2：通过OpenLiberty server.xml配置全局安全约束 #

无需修改代码，直接在server.xml中配置安全约束，强制指定路径下的所有端点要求身份验证：

<webApplication id="your-app-id" location="your-app.war" name="your-app-name">
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>All API Endpoints</web-resource-name>
            <url-pattern>/api/*</url-pattern> <!-- 匹配你的API根路径 -->
            <http-method>GET</http-method>
            <http-method>POST</http-method>
            <http-method>PUT</http-method>
            <http-method>DELETE</http-method>
            <!-- 添加所有需要保护的HTTP方法 -->
        </web-resource-collection>
        <auth-constraint>
            <!-- 空的auth-constraint表示仅要求通过身份验证，无需角色权限 -->
        </auth-constraint>
    </security-constraint>
</webApplication>

同时确保server.xml中已正确配置mpJWT特性：

<featureManager>
    <feature>mpJWT-1.2</feature>
    <feature>jaxrs-2.1</feature>
    <!-- 其他所需特性 -->
</featureManager>

<mpJwt id="myMpJwt" issuer="your-issuer" jwksUri="your-jwks-uri" />

方法3：自定义JAX-RS过滤器实现全局验证 #

如果需要更灵活的控制逻辑，可以编写ContainerRequestFilter手动触发JWT验证：

import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerRequestFilter;
import javax.ws.rs.core.Response;
import javax.ws.rs.ext.Provider;
import org.eclipse.microprofile.jwt.JsonWebToken;
import javax.inject.Inject;

@Provider
public class GlobalJwtValidationFilter implements ContainerRequestFilter {

    @Inject
    private JsonWebToken jwt;

    @Override
    public void filter(ContainerRequestContext requestContext) {
        // 若JWT无效或未提供，直接返回401
        if (jwt == null || jwt.getClaimNames().isEmpty()) {
            requestContext.abortWith(Response.status(Response.Status.UNAUTHORIZED)
                    .entity("Invalid or missing JWT token")
                    .build());
        }
    }
}

这个过滤器会对所有JAX-RS端点生效，只需确保它被应用扫描到（比如放在Application类的包路径下）即可。

关于MicroProfile JWT规范的补充说明 #

@LoginConfig注解仅用于声明应用采用MP-JWT作为认证方式，本身不会自动启用全局身份验证。规范中，JWT验证流程的触发默认依赖@RolesAllowed、@PermitAll、@DenyAll这类安全注解，或是容器层面的安全约束配置。

内容的提问来源于stack exchange，提问作者Clément Honoré