hawt.io用户管理：会话失效问题及Spring Security集成方案咨询

我来给你梳理几个靠谱的方案，帮你解决hawtio和Spring Security集成时的登出会话失效问题，或者换个更适配的认证框架实现用户角色管理。

一、正确集成Spring Security，解决登出会话失效问题 #

要让hawtio和Spring Security完全打通，核心是同步认证上下文和统一登出流程，以下是具体步骤：

1. 配置Spring Security的登出规则 #

确保hawtio的登出请求能触发Spring Security的会话失效逻辑，同时清理hawtio相关的Cookie。修改你的SecurityConfig：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 限制hawtio路径的访问角色，按需调整
                .antMatchers("/hawtio/**").hasAnyRole("ADMIN", "OPERATOR")
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/custom-login") // 你的自定义登录页
                .permitAll()
            .and()
            .logout()
                // 匹配hawtio默认的登出路径
                .logoutUrl("/hawtio/logout")
                .logoutSuccessUrl("/login?logout")
                .invalidateHttpSession(true)
                // 清理hawtio的认证Cookie
                .deleteCookies("JSESSIONID", "hawtio-console-auth");
    }

    // 配置用户认证逻辑，比如自定义UserDetailsService
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService())
            .passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

2. 让hawtio复用Spring Security的认证上下文 #

hawtio默认有自己的认证体系，需要自定义一个过滤器，把Spring Security的认证信息传递给hawtio：

@Component
public class SpringSecurityHawtioAuthFilter implements HawtioAuthenticationFilter {

    @Autowired
    private SecurityContextHolderStrategy securityContextHolderStrategy;

    @Override
    public Authentication filter(HttpServletRequest request, HttpServletResponse response) {
        // 获取Spring Security当前的认证对象
        Authentication springAuth = securityContextHolderStrategy.getContext().getAuthentication();
        if (springAuth != null && springAuth.isAuthenticated() && !(springAuth instanceof AnonymousAuthenticationToken)) {
            // 转换为hawtio可识别的Authentication对象
            Set<String> roles = springAuth.getAuthorities().stream()
                    .map(GrantedAuthority::getAuthority)
                    // 去掉ROLE_前缀（如果Spring Security自动添加的话）
                    .map(role -> role.replace("ROLE_", ""))
                    .collect(Collectors.toSet());
            return new DefaultAuthentication(springAuth.getName(), roles);
        }
        return null;
    }

    @Override
    public int getPriority() {
        // 设置更高优先级，覆盖hawtio默认的认证过滤器
        return 100;
    }
}

3. 关闭hawtio默认认证 #

在application.properties中添加配置，让hawtio使用我们自定义的认证逻辑：

# 禁用hawtio自带的认证
hawtio.authenticationEnabled=false
# 指定自定义的认证域名称
hawtio.realm=SpringSecurityRealm

这样配置后，点击hawtio的登出按钮时，会触发Spring Security的登出流程，同时失效会话、清理Cookie，解决之前的问题。

二、替代方案：使用WildFly自带JAAS认证（更简单适配） #

如果不想折腾Spring Security的集成，hawtio和WildFly的原生JAAS认证适配性更好，直接用WildFly的用户角色管理即可：

1. 在WildFly中配置JAAS域 #

编辑WildFly的standalone.xml或domain.xml，添加一个安全域：

<security-domain name="hawtio-security-domain" cache-type="default">
    <authentication>
        <login-module code="UsersRoles" flag="required">
            <module-option name="usersProperties" value="${jboss.server.config.dir}/application-users.properties"/>
            <module-option name="rolesProperties" value="${jboss.server.config.dir}/application-roles.properties"/>
        </login-module>
    </authentication>
</security-domain>

2. 添加用户和角色 #

使用WildFly自带的add-user.sh（Linux）或add-user.bat（Windows）工具，添加用户并分配角色（比如admin角色）。

3. 配置hawtio使用JAAS认证 #

在application.properties中添加：

hawtio.authenticationEnabled=true
hawtio.realm=hawtio-security-domain
# 指定允许访问hawtio的角色
hawtio.role=admin

这种方案下，hawtio直接复用WildFly的会话管理，登出时会自动失效会话，无需额外处理，集成成本更低。

三、进阶方案：使用Keycloak实现SSO与角色管理 #

如果需要更复杂的认证场景（比如多租户、SSO、细粒度权限控制），可以用Keycloak集成hawtio：

1. 在Keycloak中创建客户端、用户和角色
2. 配置hawtio的Keycloak认证属性，指定Keycloak服务器地址、客户端ID等
3. 这样登出时会同步Keycloak的会话，实现全局登出，同时角色管理完全由Keycloak负责

内容的提问来源于stack exchange，提问作者Gaurav