使用Pac4J重构认证后@RolesAllowed失效，如何适配JEE安全上下文？

问题1：让Pac4J更新JEE安全上下文以支持@RolesAllowed #

可以实现，javaee-pac4j本身提供了同步JEE安全上下文的能力，需完成以下配置：

1. 启用安全上下文同步
   配置Pac4JSecurityFilter或Pac4JAnnotationFilter时，开启JEE安全上下文同步：

   Pac4JSecurityFilter filter = new Pac4JSecurityFilter();
   // 启用JEE安全上下文同步
   filter.setUseJeeSecurityContext(true);
   // 绑定Pac4J配置及客户端
   filter.setConfig(config);
   

   若通过web.xml配置过滤器，添加初始化参数：

   <filter>
       <filter-name>pac4jSecurityFilter</filter-name>
       <filter-class>org.pac4j.javaee.filter.Pac4JSecurityFilter</filter-class>
       <init-param>
           <param-name>useJeeSecurityContext</param-name>
           <param-value>true</param-value>
       </init-param>
       <!-- 其他必要参数：config、clients等 -->
   </filter>
   

2. 为用户Profile绑定对应角色
   在自定义Authenticator中，验证通过后需为Pac4J的UserProfile添加与@RolesAllowed匹配的角色，推荐使用JEEUserProfile适配JEE安全体系：

   @Override
   public void validate(UsernamePasswordCredentials credentials, WebContext context) {
       // 执行凭据验证逻辑...
       JEEUserProfile profile = new JEEUserProfile(credentials.getUsername());
       // 添加与@RolesAllowed注解匹配的角色
       profile.addRole("ADMIN");
       credentials.setUserProfile(profile);
   }
   

3. 移除原有web.xml认证配置
   删除原<login-config>及相关安全约束配置，避免与Pac4J认证逻辑冲突。

问题2：Pac4J与Java Security的桥接模块 #

org.pac4j:javaee-pac4j就是官方提供的Pac4J与Java EE/Jakarta EE安全体系的桥接模块，它支持：

• 同步Pac4J认证结果到JEE安全上下文，使@RolesAllowed、@PermitAll等注解生效
• 适配JEE的HttpServletRequest安全方法（如isUserInRole()）
• 兼容javax.security.enterprise/jakarta.security.enterprise规范（包括JASPIC集成）

你当前使用的javaee-pac4j:7.1.0版本已覆盖上述功能，无需额外引入其他桥接模块。

内容的提问来源于stack exchange，提问作者tlegrand