Elytron自定义安全域密码解密密钥的有状态存储方案咨询

核心逻辑很直接：你在Servlet层生成的单次随机密钥，不需要做复杂的跨模块参数透传，依托Elytron和Web请求的线程绑定特性，或者扩展Elytron本身的认证上下文就能拿到，两种可落地的实现方式选适配你现有代码的就行。

前置注意点 #

你现有逻辑里的随机密钥必须设置单次有效，不管登录成功还是失败，校验完成立刻删除，不要长期存在session里，避免被窃听后重放。

方式1：直接关联Servlet上下文获取（改造成本最低，适配你现有逻辑） #

Elytron做密码校验的执行线程和当前HTTP请求线程是绑定的，不需要额外传参，直接在verifyEvidence方法里就能拿到当前请求的HttpServletRequest对象，从中取你之前存的密钥即可。

1. 先调整你现有Servlet生成密钥的逻辑：生成随机密钥返回给客户端的同时，把密钥存在当前request的attribute或者临时session属性里，比如：

   // 你原来生成随机密钥的逻辑
   String randomKey = generateLoginRandomKey();
   // 存到request属性，如果你的登录提交涉及跨跳转就存临时session
   request.setAttribute("LOGIN_RANDOM_KEY", randomKey);
   // request.getSession().setAttribute("LOGIN_RANDOM_KEY", randomKey);
   

2. 在自定义安全域的verifyEvidence方法里，直接通过WildFly的请求上下文持有者拿当前请求，读取密钥：

   @Override
   public boolean verifyEvidence(Principal principal, Evidence evidence) throws RealmUnavailableException {
       // 先判断证据类型是不是密码类证据
       if (!(evidence instanceof PasswordGuessEvidence)) {
           return false;
       }
       // 获取当前线程绑定的请求对象
       HttpServletRequest request = (HttpServletRequest) RequestContextHolder.getCurrentRequest();
       if (request == null) {
           // 非Web场景的调用直接走原有密码校验逻辑
           return super.verifyEvidence(principal, evidence);
       }
       // 读密钥，优先读request属性，没有再读session
       String randomKey = (String) request.getAttribute("LOGIN_RANDOM_KEY");
       if (randomKey == null && request.getSession(false) != null) {
           randomKey = (String) request.getSession(false).getAttribute("LOGIN_RANDOM_KEY");
           // 读完立刻删，保证单次有效
           request.getSession(false).removeAttribute("LOGIN_RANDOM_KEY");
       }
       request.removeAttribute("LOGIN_RANDOM_KEY");
   
       if (randomKey == null) {
           // 没有合法密钥直接返回校验失败
           return false;
       }
   
       // 拿到evidence里客户端提交的编码后密码
       char[] submittedPwd = ((PasswordGuessEvidence) evidence).getGuess();
       // 用randomKey做解码得到原始密码，再和存储的用户正确密码做比对即可
       // ... 你的解码+密码比对逻辑
   }
   

   这个方式不需要改你现有Elytron的认证机制配置，只需要在安全域模块的module依赖里加上wildfly-web的公共模块依赖就行，不需要单独打包servlet相关类。

方式2：扩展Elytron Evidence参数传递（无Servlet耦合，适合多场景复用的安全域） #

如果你不想让安全域代码耦合Web相关API，可以扩展Elytron的认证流程，把密钥作为证据的一部分传给安全域：

1. 自定义一个带密钥属性的证据类，继承PasswordGuessEvidence：

   public class EncodedPasswordEvidence extends PasswordGuessEvidence {
       private final String randomKey;
       public EncodedPasswordEvidence(char[] guess, String randomKey) {
           super(guess);
           this.randomKey = randomKey;
       }
       public String getRandomKey() {
           return randomKey;
       }
   }
   

2. 自定义一个适配表单登录的HTTP ServerAuthenticationMechanism，在处理登录表单提交的时候，提前从request里取出你之前存的随机密钥，构造上面的自定义EncodedPasswordEvidence传给安全域做校验。
3. 在verifyEvidence方法里，直接把入参的evidence强转成EncodedPasswordEvidence，调用getRandomKey()就能拿到密钥做解码校验，全程不依赖Servlet API，安全域可以同时给Web、非Web场景复用。

避坑提醒 #

• 不要自己用ThreadLocal手动存密钥，WildFly的Web请求是用线程池处理的，手动维护ThreadLocal很容易出现请求串号、密钥泄露的问题
• 不要把密钥存在静态全局缓存里，会直接打破密钥单次有效的安全逻辑
• 校验失败的场景也要记得删除已经生成的密钥，不要留到下一次登录请求复用

内容的提问来源于stack exchange，提问作者Timea