WildFly 17/21程序化存储密码至凭证库的持久化与脚本执行问题

1. 凭证库未配置持久化属性 #

WildFly的凭证库默认可能使用内存实现或未开启可修改/持久化配置，导致所有修改仅停留在内存中，服务器重启后完全丢失。需检查standalone.xml或domain.xml中的凭证库配置：

• 必须添加modifiable="true"允许修改
• 需指定磁盘存储路径（如JCEKS文件），而非内存存储
  示例正确配置：

<credential-store name="myCredentialStore" modifiable="true">
    <implementation type="KeyStoreCredentialStore">
        <properties>
            <property name="keyStoreType" value="JCEKS"/>
            <property name="location" value="${jboss.server.data.dir}/my-store.jceks"/>
        </properties>
    </implementation>
</credential-store>

2. 程序化存储未触发持久化 #

调用credentialStore.store()后，必须额外调用credentialStore.flush()将内存中的修改写入磁盘。仅执行store()只会在当前进程内存中生效，不做持久化操作。修正后的代码示例：

// 获取已配置的可修改凭证库实例
SecurityDomain securityDomain = SecurityDomain.getCurrent();
CredentialStore store = securityDomain.getCredentialStore("myCredentialStore");

if (store != null && store.isModifiable()) {
    store.store("clearPassword", new PasswordCredential(clearPassword));
    store.flush(); // 关键：将修改写入磁盘
}

3. elytron-tool.sh参数错误 #

执行脚本时若参数不正确，看似无异常但实际未写入凭证库，常见问题：

• 未指定正确的凭证库磁盘路径（误用内存型存储）
• 未提供凭证库的加密密码（若凭证库已加密）
• 别名或密码参数拼写错误
  正确的写入命令示例：

./elytron-tool.sh credential-store \
  --location=../standalone/data/my-store.jceks \
  --password=myStorePassword \
  --alias=clearPassword \
  --secret=myTargetPassword

执行后可通过--list参数验证是否写入成功：

./elytron-tool.sh credential-store --location=../standalone/data/my-store.jceks --password=myStorePassword --list

4. 文件权限问题 #

WildFly运行用户对凭证库文件（如.jceks）或所在目录无写入权限，导致即使执行了持久化操作，也无法将修改写入磁盘。需检查文件目录权限，确保WildFly进程用户拥有读写权限。

5. 凭证库实例获取错误 #

若程序化代码中自行创建了内存型凭证库实例（而非通过WildFly安全域获取已配置的持久化实例），所有修改自然不会持久化。必须通过WildFly的安全域API获取已配置的、绑定到磁盘存储的凭证库实例。

内容的提问来源于stack exchange，提问作者Alex Mi