如何为ActiveMQ Artemis添加自定义JAAS登录模块及排查问题

我来帮你一步步排查这个自定义JAAS登录模块的问题，从确认类加载到调试日志，再到配置细节，咱们逐个突破：

一、确认自定义LoginModule是否被加载 #

要解决问题首先得确认你的MyLogin类有没有被JVM成功加载：

• 启用类加载日志：启动Artemis时，在启动命令或脚本的JAVA_OPTS里加上-verbose:class参数。启动后，控制台会输出所有被加载的类，你直接搜索全限定名t1.security.MyLogin，如果能找到，说明类已经被加载；如果搜不到，要么是jar包放错了位置，要么是jar包内部的目录结构不对（比如没按包名层级放class文件）。
• 校验jar包结构：用jar tf your-jar-filename.jar命令查看jar包内部结构，确保里面有t1/security/MyLogin.class这个路径，和你在login.config里写的类名完全对应。
• 详细类加载调试：如果上面的方法还不够明确，可以添加-Djava.security.debug=classloader参数，这会输出更详细的类加载日志，包括每个类从哪个jar包加载，以及加载时的异常信息，能帮你定位类加载失败的具体原因。

二、开启JAAS与日志调试，捕获模块输出 #

看不到MyLogin里的日志，大概率是JAAS调试没开，或者Artemis没捕获到系统输出：

• 开启JAAS全局调试：启动Artemis时添加-Djava.security.debug=jaas参数，这会输出JAAS的完整调试流程，包括它尝试加载哪些LoginModule、加载是否成功、调用每个方法的细节。如果你的模块加载失败，这里会直接给出错误提示（比如类找不到、初始化异常等）。
• 调整Artemis日志配置：你的MyLogin用了System.out和System.err输出日志，Artemis默认可能没把这些输出纳入日志体系。可以修改etc/logging.properties，把日志级别调至最低，并确保控制台和文件处理器都能捕获：

  handlers=java.util.logging.ConsoleHandler, java.util.logging.FileHandler
  java.util.logging.ConsoleHandler.level=FINEST
  java.util.logging.FileHandler.level=FINEST
  java.util.logging.FileHandler.pattern=${artemis.instance}/log/artemis.log
  

  当然，更规范的做法是在MyLogin里用Artemis的日志框架（比如SLF4J）打日志，但临时调试的话，先调整上面的配置就能看到系统输出了。

三、检查JAAS与Artemis的配置正确性 #

配置细节出错也会导致模块不生效：

• 校验login.config语法：你用了sufficient控制标志，这个标志的意思是如果当前模块验证成功，就不再尝试后续模块。你的login()方法返回true是对的，但如果模块加载失败，JAAS会跳过它，要是没有其他备用模块，就会导致验证失败。另外，确保类名t1.security.MyLogin完全正确，大小写也要匹配。
• 确认Artemis使用正确的login.config：Artemis默认用etc/login.config，但如果启动时指定了-Djava.security.auth.login.config参数，就会使用指定的文件。你可以在启动时强制指定配置文件路径，Windows下加-Djava.security.auth.login.config=%artemis_home%/etc/login.config，Linux下加-Djava.security.auth.login.config=$ARTEMIS_HOME/etc/login.config，避免加载错配置。
• 检查模块参数处理：你在login.config里加了debug=true，可以在MyLogin的initialize方法里打印options参数，确认是否能拿到这个配置，排除参数初始化的问题：

  @Override
  public void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {
      out("initialize, options: " + options);
  }
  

四、验证Artemis的安全域绑定 #

最后要确认Artemis确实在使用你配置的JAAS域：

• 检查broker.xml配置：在broker.xml的acceptor配置里，确保指定了security-domain="activemq"，比如：

  <acceptor name="artemis">tcp://0.0.0.0:61616?tcpSendBufferSize=1048576;tcpReceiveBufferSize=1048576;amqpMinLargeMessageSize=102400;protocols=CORE,AMQP,STOMP,HORNETQ,MQTT,OPENWIRE;useEpoll=true;amqpCredits=1000;amqpLowCredits=300;amqpDuplicateDetection=true;security-domain=activemq</acceptor>
  

  如果没指定security-domain，Artemis会用默认的安全配置，不会使用你修改的activemq域。
• 用自带模块做测试：先把你的自定义模块换成JAAS自带的模块（比如com.sun.security.auth.module.UnixLoginModule），看看配置是否生效。如果自带模块能正常工作，说明问题出在你的自定义模块上；如果自带模块也不生效，那就是Artemis的JAAS整体配置有问题。

内容的提问来源于stack exchange，提问作者user1119859