如何在Java Servlet触发OAuth/OpenID认证并为用户添加自定义角色

可行解决方案 #

方案1：配置Elytron OIDC默认角色（最简便） #

你可以直接在Elytron的OIDC客户端配置中为所有通过认证的用户添加一个通用默认角色，不需要依赖第三方认证服务器返回任何角色信息：

1. 修改Wildfly配置（standalone.xml/domain.xml）中对应的OIDC客户端配置块，添加default-roles属性：

   <oidc-client name="你的OIDC客户端名称" ...>
       <!-- 原有其他配置 -->
       <default-roles>LOGGED_IN_USER</default-roles>
   </oidc-client>
   

   如果你用CLI命令配置，对应命令为：

   /subsystem=elytron/oidc-client=你的OIDC客户端名称:write-attribute(name=default-roles,value=["LOGGED_IN_USER"])
   

2. 修改Servlet的安全注解，直接使用该通用角色作为访问要求：

   @ServletSecurity(httpMethodConstraints = { 
       @HttpMethodConstraint(value = "GET", rolesAllowed = {"LOGGED_IN_USER"})
   })
   

该方案下，所有通过第三方OIDC认证的用户都会被自动赋予LOGGED_IN_USER角色，既可以正常触发认证流程，也能顺利进入Servlet方法获取UserPrincipal，后续你可以自行根据用户身份从数据库查询自定义角色做业务权限校验。

方案2：使用Elytron角色映射器动态注入自定义角色 #

如果你需要更灵活的角色注入逻辑（比如认证完成后直接从数据库读取角色写入用户安全上下文），可以自定义Elytron角色映射器，配置到当前使用的安全域中：

1. 实现自定义角色映射器：

   import org.wildfly.security.authz.RoleMapper;
   import org.wildfly.security.authz.Roles;
   import java.util.HashSet;
   import java.util.Set;
   
   public class CustomDatabaseRoleMapper implements RoleMapper {
       @Override
       public Roles mapRoles(Roles originalRoles, org.wildfly.security.auth.server.SecurityIdentity identity) {
           String username = identity.getPrincipal().getName();
           // 这里自行实现从数据库查询该用户的自定义角色逻辑
           Set<String> customRoles = new HashSet<>();
           customRoles.add("LOGGED_IN_USER");
           // 可以加入从数据库查到的其他业务角色
           return Roles.fromSet(customRoles);
       }
   }
   

2. 将该角色映射器配置到你的Elytron安全域中，角色映射会在认证完成后、权限校验前执行，这样用户的安全上下文中就会包含你注入的自定义角色，同时也能满足rolesAllowed的校验要求。

方案3：使用Servlet规范的已认证用户通配符 #

你也可以直接使用Servlet规范中代表所有已认证用户的通配符*作为rolesAllowed的值，不需要额外配置Elytron默认角色：

@ServletSecurity(httpMethodConstraints = { 
    @HttpMethodConstraint(value = "GET", rolesAllowed = {"*"})
})

Wildfly的Elytron默认会将*角色匹配给所有已完成认证的用户，不管第三方认证服务器返回的角色列表是否为空，也能实现触发认证同时放行所有已登录用户的需求。

原配置不生效的原因说明 #

• emptyRoleSemantic = ServletSecurity.EmptyRoleSemantic.PERMIT的语义是允许未认证用户访问，因此Elytron不会触发OIDC认证流程；
• transportGuarantee = CONFIDENTIAL仅要求请求使用HTTPS传输，和身份认证逻辑无关，因此也不会触发认证流程；
• 自定义Servlet Filter优先级低于Elytron的安全拦截器，因此角色校验逻辑会在Filter执行前触发，无法在Filter中提前注入角色。

内容的提问来源于stack exchange，提问作者Marsh