配置EJB通过WebService访问安全时遇WFLYEJB0364调用拒绝问题

我来帮你拆解下在WildFly 14.0.1.Final中配置EJB安全时遇到的两个核心问题，一步步解决：

一、初始调用被拒（WFLYEJB0364）的关键原因 #

1. 角色权限完全不匹配 #

你的EJB代码标注了@RolesAllowed("apiCitas")，但你给用户ejbuser添加的角色是appCitas和guest——这俩根本对不上！权限校验自然会失败。要么把用户的角色改成apiCitas，要么调整EJB注解里的角色名称，保持两者一致。

2. CLI命令的拼写错误 #

你创建SASL认证工厂时，名称里的autentication少了个字母h（正确拼写是authentication）：

# 错误的命令
/subsystem=elytron/sasl-authentication-factory=proxy-application-sasl-autentication:add(...)

这个拼写错误会导致后续配置的HTTP远程连接器找不到对应的SASL工厂，直接打断认证流程。

3. EJB安全域关联确认 #

你已经配置了/subsystem=ejb3/application-security-domain=other:add(security-domain=proxySD)，并且在jboss-app.xml指定了security-domain为other，这部分没问题，但可以额外给EJB类加上@SecurityDomain("other")注解，确保安全上下文的关联更明确。

二、修改配置后部署失败（缺少proxyAD服务）的原因 #

你直接把jboss-app.xml的security-domain改成了proxyAD，但根本没在WildFly里创建对应的proxyAD安全域组件！要先通过CLI完成以下配置：

1. 创建HTTP认证工厂（基于已有的proxySD安全域）：

/subsystem=elytron/http-authentication-factory=proxyAD-http-auth:add(security-domain=proxySD, http-server-mechanism-factory=global, mechanism-configurations=[{mechanism-name=BASIC, mechanism-realm-configurations=[{realm-name=proxyRealm}]}])

2. 把这个HTTP认证工厂关联到Undertow的应用安全域：

/subsystem=undertow/application-security-domain=proxyAD:add(http-authentication-factory=proxyAD-http-auth)

3. 同时给EJB3子系统配置对应的应用安全域：

/subsystem=ejb3/application-security-domain=proxyAD:add(security-domain=proxySD)

完成这些步骤后，再修改jboss-app.xml的security-domain为proxyAD，重新部署EAR就不会报错了。

三、完整修正后的配置步骤 #

先把之前的错误配置修正，再重新部署：

# 连接到WildFly服务器
connect

# 修正用户角色：把appCitas替换成apiCitas，和EJB的注解匹配
/subsystem=elytron/filesystem-realm=proxyRealm:add-identity-attribute(identity=ejbuser,name=Roles,value=["guest", "apiCitas"])

# 删除之前拼写错误的SASL认证工厂
/subsystem=elytron/sasl-authentication-factory=proxy-application-sasl-autentication:remove

# 创建名称正确的SASL认证工厂
/subsystem=elytron/sasl-authentication-factory=proxy-application-sasl-authentication:add(mechanism-configurations=[{mechanism-name=JBOSS-LOCAL-USER,realm-mapper=local},{mechanism-name=DIGEST-MD5,mechanism-realm-configurations=[{realm-name=proxyRealm}]},{mechanism-name=BASIC,mechanism-realm-configurations=[{realm-name=proxyRealm}]}],sasl-server-factory=configured,security-domain=proxySD)

# 更新HTTP远程连接器的SASL工厂引用（用正确的名称）
/subsystem=remoting/http-connector=http-remoting-connector:write-attribute(name=sasl-authentication-factory,value=proxy-application-sasl-authentication)

# 重新加载服务器使配置生效
reload

四、验证与排障 #

• 重新部署你的EAR包
• 用SoapUI携带Basic认证（用户名ejbuser，密码12345678）调用WebService，此时权限匹配、配置正确，应该能正常访问
• 如果还是有问题，去standalone/log/server.log里找详细错误日志——WildFly的日志会给出认证失败的具体原因（比如角色不匹配、组件找不到等）

内容的提问来源于stack exchange，提问作者SJuan76