如何无需Token调用Liferay JAX-RS忘记密码REST接口？

你的场景非常典型——像忘记密码、用户注册这类开放入口，确实不需要携带OAuth Token就能访问。在Liferay的JAX-RS模块体系里，有几种实用的方式可以实现这个需求：

1. 用JAX-RS原生注解直接放开权限 #

如果你的接口是基于标准JAX-RS开发的，直接在忘记密码的资源方法上添加@PermitsAll注解，就能绕过Liferay的OAuth2验证拦截。这个注解会明确告诉安全拦截器：该方法允许所有用户（包括未认证的匿名用户）访问。

示例代码：

import javax.ws.rs.POST;
import javax.ws.rs.Path;
import javax.ws.rs.core.Response;
import javax.annotation.security.PermitsAll;
import javax.ws.rs.FormParam;

@Path("/password")
public class PasswordResource {

    @POST
    @Path("/forgot")
    @PermitsAll // 核心注解：跳过OAuth验证
    public Response handleForgotPassword(@FormParam("email") String email) {
        // 这里写你的忘记密码逻辑：比如发送重置链接邮件
        return Response.ok("重置邮件已发送").build();
    }
}

2. 在模块配置中批量排除特定路径 #

如果不想修改代码，或者需要批量放开多个接口，可以在模块的bnd.bnd文件里添加Liferay-JAX-RS-OAuth2-Excluded-Paths属性，指定不需要OAuth验证的接口路径。

示例bnd.bnd配置：

Liferay-JAX-RS-OAuth2-Excluded-Paths: /password/forgot

路径要和你JAX-RS接口的@Path完全匹配，还支持通配符（比如/password/*可以放开所有密码相关接口）。

3. 自定义OAuth验证拦截器（进阶场景） #

如果需要更复杂的访问控制逻辑（比如只允许移动端IP段访问该接口），可以自定义OAuth2Authenticator组件，在验证流程中跳过特定路径的Token检查。

示例代码：

import com.liferay.oauth2.provider.authentication.OAuth2Authenticator;
import javax.servlet.http.HttpServletRequest;
import org.osgi.service.component.annotations.Component;
import org.osgi.service.component.annotations.Reference;

@Component(immediate = true, service = OAuth2Authenticator.class)
public class CustomOAuth2Authenticator implements OAuth2Authenticator {

    @Override
    public boolean authenticate(HttpServletRequest request) {
        String requestURI = request.getRequestURI();
        // 检测是否是忘记密码接口，是的话直接放行
        if (requestURI.contains("/password/forgot")) {
            return true;
        }
        // 其他接口沿用默认的OAuth2验证逻辑
        return defaultOAuth2Authenticator.authenticate(request);
    }

    @Reference
    private OAuth2Authenticator defaultOAuth2Authenticator;
}

重要提醒 #

放开权限的接口一定要做好安全防护：比如添加图形验证码校验、限制单IP请求频率、对邮箱格式严格校验，避免被恶意利用（比如批量发送垃圾邮件、暴力枚举用户邮箱）。测试时直接用curl或Postman调用接口，不带Authorization头，确认能正常返回结果即可。

内容的提问来源于stack exchange，提问作者Sanjay