如何通过JWT配置OpenLiberty实现所有端点默认需认证？

1. 启用安全相关特性 #

在server.xml中添加必要的feature，确保支持Jakarta EE安全机制和Web/REST功能：

<featureManager>
    <feature>appSecurity-6.0</feature> <!-- Jakarta EE 9+ 用这个，EE8 替换为 appSecurity-5.0 -->
    <feature>servlet-6.0</feature> <!-- EE8 替换为 servlet-5.0 -->
    <feature>jaxrs-3.0</feature> <!-- 若使用REST端点，按需调整版本 -->
</featureManager>

2. 配置全局安全约束（强制所有URL需认证） #

通过全局安全约束，让所有应用资源默认要求用户已登录：

<!-- 可选：允许降级到HTTP基本认证，适配不同场景 -->
<webAppSecurity allowFailOverToBasicAuth="true" />

<!-- 匹配所有URL的安全约束 -->
<securityConstraint id="defaultSecure">
    <webResourceCollection id="allResources">
        <webResourceName>All Application Resources</webResourceName>
        <urlPattern>/*</urlPattern>
        <!-- 覆盖所有HTTP请求方法 -->
        <httpMethod>GET</httpMethod>
        <httpMethod>POST</httpMethod>
        <httpMethod>PUT</httpMethod>
        <httpMethod>DELETE</httpMethod>
        <httpMethod>HEAD</httpMethod>
        <httpMethod>OPTIONS</httpMethod>
    </webResourceCollection>
    <authConstraint id="defaultAuth">
        <role-name>*</role-name> <!-- 允许所有已认证用户访问 -->
    </authConstraint>
</securityConstraint>

如果仅针对单个应用，也可以在应用的WEB-INF/web.xml中配置上述安全约束，效果一致。

3. 配置认证机制与用户注册表 #

指定用户登录方式（这里以表单认证为例），并配置用户数据源（示例用快速启动注册表，可替换为LDAP、数据库等）：

<!-- 表单认证配置 -->
<formLogin id="formLogin" loginPage="/login.html" errorPage="/login-error.html" />

<!-- 快速启动用户注册表（仅用于测试） -->
<quickStartSecurity userName="testUser" userPassword="testPass" groupName="users" />

<!-- 若用LDAP，替换为类似配置：
<ldapRegistry id="ldap" host="ldap.example.com" port="389" baseDN="dc=example,dc=com" />
-->

4. 确保@RolesAllowed注解生效 #

OpenLiberty默认支持Jakarta EE安全注解，标注@RolesAllowed的端点会自动在认证基础上增加角色授权检查。例如：

@GET
@Path("/admin/data")
@RolesAllowed("admin")
public Response getAdminData() {
    // 仅拥有admin角色的已认证用户可访问
    return Response.ok("Admin data").build();
}

这类端点会优先遵循注解的授权规则，全局安全约束的*角色设置不会覆盖它。

例外情况：开放特定资源 #

如果需要个别URL无需认证，可通过两种方式实现：

• 在端点上标注@PermitAll注解；
• 在server.xml中添加例外安全约束：

<securityConstraint id="publicResources">
    <webResourceCollection id="public">
        <webResourceName>Public Access</webResourceName>
        <urlPattern>/public/*</urlPattern>
    </webResourceCollection>
    <unprotected/> <!-- 标记为无需认证 -->
</securityConstraint>

内容的提问来源于stack exchange，提问作者DanielM