如何阻止MPJwt对OpenLiberty服务器上未受保护/允许的端点执行认证？

这是个很常见的坑——当你在OpenLiberty里启用MPJWT后，默认会对所有API端点强制进行JWT认证检查，哪怕你用@PermitAll标注了要开放的接口。不过别慌，有几种简单有效的方法能搞定这个问题：

方法1：直接在MPJWT配置里排除指定路径 #

你可以在server.xml的<mpJwt>标签中添加excludePaths属性，明确告诉MPJWT哪些路径不需要做认证检查。比如针对你的/test/ping端点，修改后的配置如下：

<mpJwt id="keycloakJwt" 
       jwksUri="https://auth.ura.go.ug/auth/realms/sso/protocol/openid-connect/certs" 
       issuer="https://auth.ura.go.ug/auth/realms/sso" 
       userNameAttribute="preferred_username" 
       audiences="askura-etax-ws"
       excludePaths="/test/ping"/>

• 多个路径可以用逗号分隔，比如excludePaths="/test/ping,/health/check"
• 还支持通配符，比如/test/*可以排除整个/test下的所有子端点

方法2：通过web.xml配置安全约束 #

如果你的应用是WAR包结构，可以在WEB-INF/web.xml（或者用web-fragment.xml）里添加安全约束，指定特定路径允许未认证访问：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Unprotected Endpoints</web-resource-name>
        <url-pattern>/test/ping</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <!-- 空的auth-constraint表示允许所有用户，包括未携带JWT的匿名访问 -->
    </auth-constraint>
</security-constraint>

这种方式适合需要更细粒度安全控制的场景，或者和其他应用安全配置配合使用。

方法3：检查全局安全配置是否强制认证 #

如果你的server.xml里配置了<webAppSecurity enforceSecurityConstraint="true"/>这类全局安全强制项，可能会覆盖@PermitAll的效果。你可以调整这个配置为false，或者确保前面两种方法的配置优先级更高。

补充说明 #

@PermitAll是JAX-RS的授权注解，但在MPJWT启用的情况下，OpenLiberty会先执行MPJWT的认证流程，再检查JAX-RS的授权规则。所以必须先让MPJWT跳过这些端点的认证检查，@PermitAll才能正常生效，允许未认证的请求访问。

内容的提问来源于stack exchange，提问作者munyagwa enock