如何在CDI异步事件中使用SecurityContext实现安全角色校验？

问题背景 #

我们将部分业务逻辑迁移至CDI异步观察者后，遇到权限校验异常：观察者内的业务方法通过securityContext.isCallerInRole(...)做角色校验时始终返回false。排查发现异步线程中Principal已正常设置，但该方法无法正确识别角色。此前尝试过以下方案均无效：

• 自定义HttpAuthenticationMechanism：仅在Servlet生命周期生效，无法触发异步线程的认证；
• 程序化分配角色/组：暂无可行实现方式；
• @RunAs注解：仅支持EJB，不适用于CDI Bean。

可行解决方案 #

1. 手动传递角色信息到异步事件

在同步线程触发事件时，预先获取当前用户的角色列表，将角色信息与业务数据一同封装进事件对象，异步观察者直接校验传入的角色集合，绕过SecurityContext的角色校验方法。
示例代码：

// 封装带角色信息的事件类
public class BusinessEvent {
    private final Object data;
    private final Principal principal;
    private final Set<String> roles;

    public BusinessEvent(Object data, Principal principal, Set<String> roles) {
        this.data = data;
        this.principal = principal;
        this.roles = roles;
    }

    // getter方法
    public Set<String> getRoles() { return roles; }
    public Principal getPrincipal() { return principal; }
}

// 同步触发事件的代码
@Inject
private Event<BusinessEvent> event;

public void triggerAsyncLogic() {
    SecurityContext securityContext = CDI.current().select(SecurityContext.class).get();
    Principal principal = securityContext.getUserPrincipal();
    // 从SecurityContext或身份源获取角色列表
    Set<String> userRoles = getCurrentUserRoles(securityContext);
    event.fireAsync(new BusinessEvent(businessData, principal, userRoles));
}

// CDI异步观察者
public void handleAsyncEvent(@Observes @Async BusinessEvent event) {
    if (event.getRoles().contains("REQUIRED_ROLE")) {
        // 执行需权限校验的业务逻辑
    }
}

2. 配置Wildfly开启SecurityContext跨线程传播

Wildfly 26支持通过系统属性或部署描述符配置SecurityContext的线程传播，针对CDI异步场景，可尝试添加以下系统属性：

org.wildfly.security.context.isolation=false

该配置会关闭安全上下文的线程隔离，允许安全上下文在异步线程间传播。若通过部署描述符配置，可在jboss-deployment-structure.xml中添加相关参数。

3. 自定义SecurityContext实现

实现自定义的SecurityContext，在异步线程中手动注入Principal和角色信息，替代容器提供的实例。通过CDI Producer将自定义实例注入到异步观察者中。
示例代码：

@ApplicationScoped
public class AsyncSecurityContextProducer {

    @Produces
    @Dependent
    public SecurityContext produceAsyncSecurityContext(@Inject Event<BusinessEvent> event) {
        // 从事件中获取预先传递的Principal和角色
        BusinessEvent currentEvent = getCurrentEvent(); // 需实现事件上下文获取逻辑
        return new SecurityContext() {
            @Override
            public Principal getUserPrincipal() {
                return currentEvent.getPrincipal();
            }

            @Override
            public boolean isCallerInRole(String role) {
                return currentEvent.getRoles().contains(role);
            }

            // 实现其他未使用的方法（返回默认值即可）
            @Override
            public boolean isSecure() { return true; }
            @Override
            public String getAuthenticationScheme() { return "CUSTOM"; }
        };
    }
}

// 异步观察者中注入自定义SecurityContext
public void handleAsyncEvent(@Observes @Async BusinessEvent event, @Inject SecurityContext securityContext) {
    if (securityContext.isCallerInRole("REQUIRED_ROLE")) {
        // 执行业务逻辑
    }
}

4. 替换为EJB异步方法

若业务场景允许，将异步逻辑迁移至EJB中，使用@Asynchronous注解实现异步调用。EJB对安全上下文的跨线程传播支持更完善，且可配合@RunAs注解实现角色切换，避免CDI异步场景的安全上下文问题。

内容的提问来源于stack exchange，提问作者DaveB