通过Nginx Basic认证访问Wildfly时request.getRemoteUser()返回null如何解决

问题根因 #

你遇到的问题是两层配置缺失导致的：

1. Nginx完成Basic Auth校验后，默认不会主动将认证通过的用户信息透传给上游Wildfly服务。即使你手动透传了原始Authorization头，Wildfly默认也不会将反向代理传来的认证信息填充到remoteUser属性中，除非你显式配置Wildfly识别代理传递的认证参数。
2. 你之前添加的proxy_set_header、proxy_pass_header配置如果放在proxy_pass之后，或者被services.conf里的重写规则覆盖，也会失效。

可行配置方案 #

第一步：调整Nginx配置 #

更安全的方式是直接透传Nginx已经校验完成的用户名，不需要透传原始认证凭证，避免Wildfly二次校验冲突：

location / {
    auth_basic "Application auth";
    auth_basic_user_file /etc/nginx/htpasswd;

    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Server $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    # 新增：透传Nginx校验通过的用户名
    proxy_set_header X-Forwarded-User $remote_user;
    # 如果你确实需要透传原始Authorization头，保留这行，必须放在proxy_pass之前
    proxy_pass_header Authorization;

    proxy_pass http://wildfly/;

    include snippets/services.conf;

    return 404;
}

注意：所有proxy_set_header、proxy_pass_header配置必须放在proxy_pass之前，否则不会生效。

第二步：适配Wildfly配置 #

根据你的需求二选一即可：

方案A：代码直接取头（无容器配置改动，最快实现）

不需要调整Wildfly全局配置，直接在应用代码中读取透传的用户名：

// 直接读取Nginx传过来的认证用户
String remoteUser = request.getHeader("X-Forwarded-User");

方案B：配置Wildfly原生支持，让request.getRemoteUser()正常返回

如果必须用标准Servlet接口getRemoteUser()获取，按以下步骤配置：

1. 开启Wildfly的反向代理头识别，用jboss-cli执行命令：

/subsystem=undertow/server=default-server/http-listener=default:write-attribute(name=proxy-address-forwarding, value=true)

2. 在你的应用WEB-INF/web.xml中添加安全域配置：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Resources</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
</security-constraint>
<login-config>
    <auth-method>CLIENT-CERT</auth-method>
    <realm-name>ProxyAuthRealm</realm-name>
</login-config>
<security-role>
    <role-name>*</role-name>
</security-role>

3. 在应用WEB-INF/jboss-web.xml中配置头映射规则：

<jboss-web>
    <security-domain>ProxyAuthRealm</security-domain>
    <valve>
        <class-name>org.apache.catalina.authenticator.RemoteIpValve</class-name>
        <param>
            <param-name>remoteUserHeader</param-name>
            <param-value>X-Forwarded-User</param-value>
        </param>
    </valve>
</jboss-web>

配置完成后重启Wildfly即可。

失效排查步骤 #

如果配置后仍然不生效，按顺序检查：

• 在Wildfly应用中打印所有请求头，确认X-Forwarded-User或Authorization头已经正确传递到上游
• 确认services.conf里的重写规则没有覆盖你添加的proxy_set_header配置
• 如果你透传的是原始Authorization头，需要额外在Wildfly上配置和Nginx htpasswd一致的安全域，否则Wildfly不会解析该头填充remoteUser

内容的提问来源于stack exchange，提问作者koenig