WildFly 24使用Elytron配置多SASL认证机制失败问题咨询

问题根源 #

你的配置核心有两个问题导致DIGEST-MD5认证失败：

1. 用户凭证哈希不匹配：你通过默认add-user.sh添加的用户，生成的密码哈希是基于默认的ApplicationRealm计算的，但是你配置的PreAuthRealm的digest-realm-name为PreAuthRealm，二者不一致导致DIGEST-MD5校验时哈希不匹配，所以服务端返回认证拒绝。这也是你换回默认的security-realm="ApplicationRealm"配置后，用户名密码认证就能正常工作的原因。
2. 客户端默认会按顺序尝试所有支持的SASL机制，所以你看到日志里先报OAUTHBEARER无token错误，再尝试DIGEST-MD5失败，即使DIGEST-MD5配置正确，多余的机制尝试也可能带来不必要的问题。

你期望实现的双认证机制需求完全可行，WildFly Elytron原生支持同一个SASL认证工厂绑定多个不同认证机制、分别映射不同Realm。

具体修复步骤 #

1. 重新生成匹配Realm的用户凭证 #

执行add-user.sh时明确指定Realm名称，确保生成的哈希和配置一致：

./add-user.sh -a -u test -p test -r PreAuthRealm

参数说明：

• -a：添加到应用级用户存储（对应application-users.properties）
• -r：指定Realm名称，必须和你properties-realm配置里的digest-realm-name完全一致

2. 客户端代码指定SASL机制（可选但推荐） #

在预认证Bean的JNDI配置中添加参数，明确指定使用DIGEST-MD5机制，避免不必要的OAUTHBEARER尝试：

jndiProperties.put("wildfly.naming.client.sasl.mechanisms", "DIGEST-MD5");

3. 确认EJB权限配置 #

确保你的PreAuth EJB允许PreAuthRealm用户访问，比如给EJB添加对应角色注解：

@RolesAllowed("预认证用户角色") // 对应application-roles.properties里给test用户分配的角色
@Stateless
public class PreAuthImpl implements PreAuth {
    // 业务逻辑
}

验证结果 #

修改完成后重启WildFly，此时两种认证机制会同时生效：

• 携带token的请求走OAUTHBEARER机制，路由到JWTRealm校验，不影响原有核心功能
• 携带用户名密码的请求走DIGEST-MD5机制，路由到PreAuthRealm校验，无需token即可访问预认证接口获取Keycloak相关配置

内容的提问来源于stack exchange，提问作者nearu04