从JBoss 7迁移至WildFly30：Web认证无法传递至EJB问题求助

问题背景 #

将包含多WAR和EJB Jar的独立EAR从JBoss 7迁移至WildFly30后，Web层可正常获取已认证用户名，但调用本地EJB时，context.getCallerPrincipal()始终返回anonymous；尝试旧版jboss-ejb3.xml配置时触发Legacy安全域不支持的错误，添加@RolesAllowed注解也未生效。

具体排查点 #

• 统一Web与EJB的安全域配置
  WildFly30已废弃Legacy安全域，全面使用Elytron安全体系：

  • 确认Web层使用的Elytron安全域与EJB端配置完全一致，避免跨体系的安全上下文无法传递。
  • 移除旧jboss-ejb3.xml中关于Legacy安全域的配置，改用Elytron兼容方式：可在ejb-jar.xml中通过<security-domain>指定Elytron安全域名称，或在WildFly子系统配置中开启EJB与Elytron的集成。

• 验证EJB调用的上下文传递条件

  • 确保EJB调用在Web请求的线程内执行：异步调用、新开线程会导致安全上下文无法自动传递，需手动处理或调整调用时机。
  • 检查InitialContext的初始化是否正确：本地EJB调用应使用默认上下文，无需额外配置，若自定义上下文参数可能导致上下文丢失。

• 调整EJB安全注解配置

  • 给EJB方法添加@RolesAllowed("指定角色")，同时确认Web层认证用户拥有该角色：触发安全校验逻辑可强制容器传递认证上下文，避免匿名访问。
  • 检查EJB是否存在@RunAs注解：该注解会覆盖调用者身份，导致EJB端获取到的是指定的RunAs用户而非Web层认证用户。

• 检查WildFly服务器端EJB安全配置

  • 在standalone.xml/domain.xml中确认EJB子系统已启用Elytron集成，示例配置：

    <subsystem xmlns="urn:jboss:domain:ejb3:19.0">
      <elytron-integration security-domain="your-elytron-security-domain"/>
      <!-- 其他EJB配置 -->
    </subsystem>
    

  • 确认SSO配置与Elytron安全域关联正常，密钥库、密钥别名等配置无错误，确保用户认证信息可在跨WAR及EJB间共享。

• 清理过时的部署描述符配置

  • 检查EAR的application.xml、jboss-app.xml是否存在旧版安全域引用，这类配置会干扰WildFly30的安全上下文传递逻辑，需删除或更新为Elytron兼容配置。

• 通过日志定位问题

  • 开启安全相关DEBUG日志：设置org.jboss.as.security、org.wildfly.security.elytron的日志级别为DEBUG，查看Web到EJB调用过程中安全上下文的传递细节，确认是否存在上下文丢失、认证失败等日志信息。

内容的提问来源于stack exchange，提问作者Radu Tentea